ZKSync récupère des fonds volés après qu'un hacker accepte un bounty

ZKSync a récupéré plus de 5 millions de dollars en tokens après qu’un hacker a accepté une bounty de 10% en échange du retour de 90% des actifs volés.

Le 23 avril, ZKSync a annoncé sur X que le hacker avait coopéré et retourné les tokens volés dans la fenêtre de “port sûr” de 72 heures de la plateforme. Le Conseil de sécurité de ZKSync détient désormais les tokens récupérés, et la gouvernance décidera quoi en faire.

Le piratage, qui a eu lieu le 15 avril, a impliqué une clé d’administration compromise qui a permis à l’attaquant de créer environ 111 millions de tokens ZK, d’une valeur d’environ 5 millions de dollars, à partir de réserves d’airdrop non réclamées. Selon ZKSync, seuls trois contrats d’airdrop spécifiques ont été affectés par la vulnérabilité. Les systèmes de protocole de base et les fonds des utilisateurs n’ont pas été touchés.

La plateforme a également confirmé que, puisque tous les contrats de distributeurs impliqués étaient déjà plafonnés, aucun nouveau jeton ne pouvait être créé en utilisant cette faille. Les fonds des utilisateurs, les contrats principaux et la gouvernance étaient tous complètement sécurisés.

En réponse au piratage, ZKSync a adressé un message au hacker le 21 avril, proposant un accord pour retourner 90 % des fonds volés et garder 10 % en tant que bounty. De plus, Matter Labs, l’actuel séquenceur unique pour ZKSync Era, a mis en place un filtrage des transactions pour bloquer l’activité des adresses compromises.

Cette mesure temporaire a été mise en œuvre car l’exploitation avait un lien direct avec des tokens liés à la gouvernance. Des contrôles centralisés comme celui-ci sont réalisables dans la phase de déploiement de la Stage 0 de ZKSync Era. Cependant, l’équipe a souligné que les filtres pouvaient être supprimés à tout moment par la gouvernance.

Le hacker semble avoir obtempéré, renvoyant près de 45 millions de tokens ZK et plus de 1 700 Ethereum (ETH) à des adresses contrôlées par le Conseil de sécurité. La récupération marque une victoire rare dans un secteur où de nombreux hacks restent non résolus. Un rapport d’enquête final est attendu bientôt.