Hacker do ZKLend perde todos os fundos para site de phishing que imita o Tornado Cash
- O hacker do ZKLend respondeu à mensagem da recompensa, afirmando que perdeu 2.930 ETH para um site de phishing.
- O ZKLend continua a rastrear os fundos, notificando exchanges e protocolos sobre novos endereços.
- O hacker utilizou safe-relayer.eth, um endereço Ethereum personalizado, o que levantou suspeitas de que a mesma entidade possui tanto o site falsificado quanto realizou o hack ao ZKLend.
O hacker que levou 2.930 ETH do protocolo ZK Lend afirma ter perdido todos os fundos para outro jogador mal-intencionado. Em vez de enviar o ETH para o Tornado Cash, o hacker afirma que todos os fundos foram enviados para um site de phishing.
O endereço do hacker que roubou 2.930 ETH do ZKLend supostamente foi hackeado em retorno. O proprietário da carteira comentou através do Etherscan, afirmando que os fundos foram perdidos para um site de phishing em vez do Tornado Cash. O ETH roubado é avaliado em cerca de US$ 5,5 milhões em 1º de abril.
A ZKLend tem sido negociando com o hacker para recuperar a maioria dos fundos em troca de um bônus de 10%. Os endereços eram conhecidos e o projeto estava se comunicando ativamente com o explorador até o último momento. No final, o hacker afirmou que os fundos não estão mais no endereço original e foram levados por outro ator mal-intencionado.
O hacker se comunicou da mesma forma que a equipe da ZKLend – emitindo uma transação com zero ETH e uma mensagem anexada.
A equipe da ZKLend tem declarou não há evidências conclusivas de que o hacker perdeu o controle de todos os fundos. A equipe observou que os fundos foram enviados para um endereço vinculado a um site falso que está ativo há cinco anos. Não há evidências conclusivas ligando o explorador do protocolo aos proprietários das carteiras do site falso, mas investigadores on-chain encontraram indicações de que a mesma entidade pode ser responsável por ambos os hacks.
O protocolo de empréstimos não desistiu de rastrear o ETH perdido e incluiu o novo endereço de exploração como alvo. O protocolo ZKLend coopera com exchanges centralizadas, embora também existam maneiras descentralizadas de obscurecer os fundos.
Investigadores suspeitam que o hacker simulou a perda de ETH
As alegações repentinas de outra exploração, seguidas por mistura imediata, também sugerem que o hacker pode estar conectado ao site de phishing. De qualquer forma, as moedas ETH agora são quase impossíveis de rastrear, e o hacker pode acabar retendo os tokens após a mistura. Investigadores on-chain acreditam que a transação ETH é uma piada de 1º de abril, pois o hacker não mencionou o site de phishing exato e a transação usou outra rota para chegar ao Tornado Cash.
De acordo com investigadores on-chain, os fundos roubados usaram um endereço vanidade Ethereum e não foram enviados para um dos sites falsos do Tornado Cash diretamente.
TornadoCashDAO：
zklend再次被盗极有可能是黑客自导自演，被盗资金因手填safe-relayer.eth中继器取款，并不是因为钓鱼，黑客为同一人 https://t.co/FEd22QY9Ph— 法希姆 (@Faith_Blo) Abril 1, 2025
O próprio Tornado Cash alertou sobre sites falsos potenciais, que são amplamente conhecidos e altamente improváveis de serem confundidos por um hacker Ethereum. Investigadores on-chain notaram que o site em questão era provavelmente tornadoeth.cash, em vez de tornado.cash.
Antes de transferir a maior parte do ETH roubado, o hacker também moveu somas menores e tentou misturar sem um intermediário. A equipe da ZKLend notou a atividade e continuou a notificar exchanges centralizadas e protocolos para todos os novos endereços relacionados ao hack.
Os fundos da ZKLend podem ser rastreados?
Após a mistura, os 2.930 ETH podem não ser rastreados tão facilmente. No entanto, investigadores on-chain estão fazendo uma ligação tentative entre o hacker e o site falso do TornadoCash.
Um investigador on-chain notou que a transação do hacker passou por um endereço vanidade Ethereum, safe-relayer.eth. Esse mesmo endereço foi uma vez codificado em um dos sites falsos do TornadoCash. As versões de código do site foram monitoradas por investigadores, notando que safe-relayer.eth apareceu por um período de tempo em 2024.
Em 31 de março, o endereço safe-relayer.eth foi removido do site. Isso significa que todos os outros transações de golpe passam por outra carteira intermediária.
No entanto, o hacker ainda usou safe-relayer.eth, mesmo sem ser solicitado pelo site. Isso levou os investigadores a acreditar que o hacker queria cobrir seus rastros e provavelmente estava no controle de safe-relayer.eth e era o autor do site falso.
No final, em vez de obscurecer os fundos, a exploração da ZKLend colocou um escrutínio extra no site tornadoeth.cash e em seus potenciais proprietários. A tentativa de cobrir os rastros do hacker pode ter exposto uma rede mais ampla de atores mal-intencionados.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Hristina Vasileva
Hristina Vasileva especializa-se em notícias sobre DeFi, negócios e economia. Formou-se na Universidade de Sofia com mestrado em Filosofia, após concluir graduação de 4 anos em Administração de Empresas, Jornalismo e Comunicação de Massa. Trabalhou em um dos principais jornais do país, cobrindo commodities e resultados corporativos. Atualmente, Hristina é autora contribuinte de notícias na Cryptopolitan.
