Zipcoin stellt Betrieb nach UNCX-Exploit und Warnung über kompromittierte Codebasis ein
Wichtige Erkenntnisse
- •Der UNCX Smart Token Vesting V2-Exploit vom 14. Oktober ermöglichte es Angreifern, Berechnungen der Anteilsverbuchung zu manipulieren und etwa 10,84 Millionen ZC – rund 1,1 % des maximalen Angebots von Zipcoin – abzuziehen, die der Hauptangreifer in etwa 6,52 ETH umwandelte.
- •Eine spätere Sicherheitswarnung deutete darauf hin, dass die gesamte Codebasis und die privaten Schlüssel von Zipcoin kompromittiert sein könnten, und das Team führte diese Bedrohung in seiner Entscheidung an, die Entwicklung einzustellen, obwohl eine unabhängige Bestätigung der Kompromittierung noch aussteht.
- •Zipcoin legte eine sechsstündige Exit-Phase für Halter fest, bevor am 22. Oktober um 12 Uhr US-Ostküstzeit die geplante Liquidation von rund 22 Millionen verbleibenden Schatzkammer-Token erfolgen soll, was etwa 2,2 % des Token-Angebots entspricht.
- •Stockereum, das Ethereum-Launchpad, über das ZC ursprünglich in Umlauf kam, fordert die Rückgabe von 12,66 ETH, die nach eigenen Angaben an die Foundation-Wallet von Zipcoin überwiesen wurden – eine Pflicht, die umstritten bleibt.
- •ZC erreichte am 4. Oktober ein Hoch von etwa 0,043 US-Dollar, was einer vollständig verwässerten Bewertung von rund 43 Millionen US-Dollar entsprach, bevor die Marktkapitalisierung einbrach; Zipcoin hat keinen Ersatz-Token, kein Kompensationsprogramm angekündigt und die Verwendung der Liquidationserlöse nicht offengelegt.
Zipcoin, ein auf Ethereum basierendes Datenschutzprojekt, hat seine Einstellung angekündigt, nachdem ein Exploit Token aus gesperrten Vesting-Positionen abgeschöpft hatte und eine separate Warnung darauf hinwies, dass seine Codebasis und privaten Schlüssel möglicherweise kompromittiert sind.
Die Entscheidung vom 22. Oktober folgt auf einen Sicherheitsvorfall beim UNCX Network, bei dem etwa 1,1 % des Gesamtangebots von ZC exponiert wurden. Zipcoin versuchte zunächst, die Folgen durch Rückkäufe aus der Schatzkammer einzudämmen, hat die Entwicklung nun jedoch nach den zusätzlichen Sicherheitsbedenken eingestellt.
Das Team kündigte die Abwicklung auf X an und gewährte den Haltern ein sechsstündiges Fenster, um ihre Positionen zu verlassen, bevor eine geplante Liquidation der verbleibenden Schatzkammer-Zuteilung des Projekts erfolgt, die etwa 2,2 % des Token-Angebots ausmacht. Der Verkauf war für 12 Uhr US-Ostküstzeit am 22. Oktober angesetzt.
UNCX-Vesting-Exploit leerte fast 11 Millionen ZC
Die Schwierigkeiten von Zipcoin begannen mit dem Exploit des UNCX Smart Token Vesting V2 am 14. Oktober, als Angreifer interne Berechnungen der Anteilsverbuchung manipulierten, um Token aus anderen Vesting-Positionen abzuziehen. Vesting-Verträge dieser Art werden häufig verwendet, um Team-, Investoren- und Schatzkammer-Zuteilungen nach festen Freigabeplänen zu sperren, und der ausgenutzte Fehler lag in der gemeinsamen Vesting-Infrastruktur von UNCX und nicht in Code, der spezifisch für Zipcoin war.
Die Schwachstelle betraf 10 Token auf Ethereum, BNB Chain, Base und Robinhood Chain, mit 11 bestätigten unbefugten Abhebungstransaktionen, wie aus UNCXs Vorfallsmeldung hervorgeht.
Auf Ethereum zogen die Angreifer nach Abzug zurückgegebener Token etwa 10,84 Millionen ZC dem Vesting-Manager ab, was ungefähr 1,1 % des maximalen Angebots von einer Milliarde Token bei Zipcoin entspricht. Der Hauptangreifer wandte den gestohlenen ZC anschließend in etwa 6,52 ETH um, während separate Kopierkatzen-Transaktionen zusätzliche Erlöse abzogen.
Zipcoin setzte den Betrieb zunächst fort und nutzte Ressourcen der Schatzkammer zur Unterstützung von Token-Rückkäufen. Eine nachfolgende Sicherheitswarnung wies jedoch Berichten zufolge darauf hin, dass die gesamte Codebasis kompromittiert gewesen sein könnte, wodurch private Schlüssel und sensible Projektinfrastruktur potenziell exponiert wurden. Das Team führte diese zusätzliche Bedrohung in seiner Entscheidung zur Schließung an. Solche Warnungen haben direkte betriebliche Konsequenzen, da exponierte private Schlüssel unbefugten Zugriff auf alle Mittel ermöglichen würden, die diese Schlüssel kontrollieren.
Das volle Ausmaß der angeblichen Kompromittierung der Codebasis, einschließlich der Frage, welche Schlüssel exponiert sein könnten, wurde bislang nicht durch eine öffentliche technische Untersuchung geklärt. Eine andere Art der Codebasis-Exposition betraf früher in diesem Jahr Grafana, als unbefugter GitHub-Zugriff einem Angreifer den Download von Unternehmens-Repositories ermöglichte. Die berichteten Bedenken von Zipcoin erstrecken sich auf potenziell kompromittierte private Schlüssel, wobei eine unabhängige Bestätigung weiterhin aussteht.
Stockereum fordert Rückgabe von 12,66 ETH, während Halter protestieren
Die Schließung hat Kritik von Investoren sowie von Stockereum ausgelöst, dem Ethereum-Launchpad, über das ZC ursprünglich in Umlauf kam. In einem Beitrag auf X forderte Stockereum die Rückgabe von 12,66 ETH mit der Begründung, die Mittel seien an die Foundation-Wallet von Zipcoin überwiesen worden und sollten nach der Schließung zurückgezahlt werden.
Das Transaktions-Dashboard des Launchpads verzeichnet ebenfalls einen Eintrag von 12,660 ETH in Verbindung mit der ZC Foundation, wobei die genaue Rückzahlungspflicht umstritten bleibt.
Community-Mitglieder hinterfragten, warum das Projekt den Betrieb einstellte, anstatt die kompromittierte Infrastruktur zu isolieren, exponierte Zugangsdaten zu rotieren und eine unabhängige Sicherheitsüberprüfung durchzuführen. Diese Schritte sind die üblichen Maßnahmen des Incident-Response, die Projekte normalerweise ergreifen, wenn sie prüfen, ob der Betrieb sicher fortgeführt werden kann, und Kritiker stellten die Entscheidung in Frage, stattdessen direkt in eine Abwicklung überzugehen. Einige Halter meldeten erhebliche Anlageverluste, darunter einzelne Forderungen von bis zu etwa 10.000 US-Dollar.
Die Kritik richtete sich auch gegen die geplante Liquidation der Schatzkammer. Der Verkauf der verbleibenden, vom Projekt kontrollierten Token in einen bereits geschwächten Markt könnte während des abschließenden Handelsfensters zusätzlichen Druck auf die Liquidität von ZC erzeugen.
Marktwert von ZC bricht ein, während das Projekt den finalen Verkauf vorbereitet
Zipcoin erreichte zuvor am 4. Oktober ein Allzeithoch von etwa 0,043 US-Dollar, was – laut Marktdaten die auf DefiLlama erfasst werden – einer vollständig verwässerten Bewertung von etwa 43 Millionen US-Dollar entsprach. Der Wert des Tokens brach anschließend ein, wobei seine Marktkapitalisierung stark fiel, als die Sicherheitsvorfälle und die Ankündigung der Schließung das Vertrauen der Anleger beschädigten.
Die geplante Schließung von Zipcoin folgt auf andere Kryptoprojekte, die kompromittierte Infrastruktur aufgegeben haben. Im August stellte BounceBit seine Layer 1 nach einem Autorisierungs-Exploit im Wert von 3 Millionen US-Dollar ein, entschied sich jedoch dafür, sein Token zu BNB Chain zu migrieren, anstatt seine übrigen Aktivitäten einzustellen.
Zipcoin hat keinen Ersatz-Token, kein Kompensationsprogramm und keine formale Wiederherstellungsregelung für betroffene Investoren angekündigt. Der unmittelbare Plan des Teams konzentriert sich auf die sechsstündige Exit-Phase für Halter und die Liquidation von etwa 22 Millionen verbleibenden ZC-Token. Ob die Erlöse einen Wiederherstellungs- oder Rückzahlungsprozess finanzieren werden, wurde nicht mitgeteilt. Die offenen Punkte sind Stockereums umstrittene Rückzahlungsforderung, die nicht offengelegte Verwendung der Liquidationserlöse und der unbestätigte Umfang der berichteten Kompromittierung der Codebasis – keiner davon wurde durch die Ankündigung der Abwicklung bislang geklärt.
