Zipcoin, un proyecto de privacidad basado en Ethereum, ha anunciado su cierre tras un exploit que drenó tokens bloqueados en posiciones de vesting y una advertencia independiente de que su código fuente y sus claves privadas podrían estar comprometidos.

La decisión del 22 de octubre se produce después de una brecha de seguridad en UNCX Network que expuso aproximadamente el 1,1% de la oferta total de ZC. Zipcoin inicialmente intentó contener las consecuencias mediante recompras de tokens financiadas con tesorería, pero ahora ha abandonado el desarrollo tras surgir las preocupaciones adicionales de seguridad.

El equipo anunció el cese de operaciones en X, otorgando a los holders una ventana de seis horas para salir de sus posiciones antes de una liquidación planificada de la asignación restante de tesorería del proyecto, que representa aproximadamente el 2,2% de la oferta de tokens. La venta estaba programada para el mediodía, hora del Este de Estados Unidos, del 22 de octubre.

El exploit de vesting de UNCX drenó casi 11 millones de ZC

Las dificultades de Zipcoin comenzaron con el exploit de UNCX Smart Token Vesting V2 del 14 de octubre, cuando los atacantes manipularon los cálculos internos de contabilidad de participaciones para retirar tokens pertenecientes a otras posiciones de vesting. Los contratos de vesting de este tipo se utilizan comúnmente para bloquear asignaciones de equipos, inversores y tesorería según calendarios de liberación fijos, y la falla explotada se encontraba en la infraestructura de vesting compartida de UNCX, no en código específico de Zipcoin.

La vulnerabilidad afectó a 10 tokens en Ethereum, BNB Chain, Base y Robinhood Chain, con 11 transacciones de retiro no autorizadas confirmadas, según la divulgación del incidente de UNCX.

En Ethereum, los atacantes retiraron aproximadamente 10,84 millones de ZC del gestor de vesting después de descontar los tokens devueltos, lo que equivale a alrededor del 1,1% de la oferta máxima de mil millones de tokens de Zipcoin. El atacante principal posteriormente convirtió el ZC robado en aproximadamente 6,52 ETH, mientras que transacciones de imitación independientes extrajeron beneficios adicionales.

Zipcoin inicialmente continuó operando y utilizó recursos de tesorería para respaldar las recompras de tokens. Sin embargo, una advertencia de seguridad posterior indicó, según reportes, que todo su código fuente había sido comprometido, exponiendo potencialmente claves privadas e infraestructura sensible del proyecto. El equipo citó esta amenaza adicional en su decisión de cerrar. Las advertencias de este tipo tienen consecuencias operativas directas, ya que las claves privadas expuestas permitirían el acceso no autorizado a cualquier fondo que esas claves controlen.

El alcance completo del presunto compromiso del código fuente, incluidas las claves que podrían haberse expuesto, no se ha establecido mediante una investigación técnica pública. Una exposición de código fuente distinta afectó a Grafana a principios de este año, cuando un acceso no autorizado a GitHub permitió a un atacante descargar repositorios de la empresa. Las preocupaciones reportadas de Zipcoin se extienden a claves privadas potencialmente comprometidas, aunque la confirmación independiente sigue sin estar disponible.

Stockereum exige la devolución de 12,66 ETH mientras los holders protestan

El cierre ha generado críticas de inversores y de Stockereum, la launchpad de Ethereum a través de la cual ZC entró originalmente en circulación. En una publicación en X, Stockereum exigió la devolución de 12,66 ETH, alegando que los fondos habían sido transferidos a la wallet de la fundación de Zipcoin y deberían devolverse tras el cierre.

El panel de transacciones de la launchpad también registra una entrada de 12,660 ETH asociada con la ZC Foundation, aunque la obligación exacta de reembolso sigue en disputa.

Los miembros de la comunidad cuestionaron por qué el proyecto se cerraba en lugar de aislar la infraestructura comprometida, rotar las credenciales expuestas y realizar una revisión de seguridad independiente. Esos pasos son las medidas estándar de respuesta a incidentes que los proyectos suelen tomar al evaluar si las operaciones pueden continuar de manera segura, y los críticos cuestionaron la decisión de pasar directamente al cese de operaciones. Algunos holders reportaron pérdidas de inversión sustanciales, incluidos reclamos individuales que alcanzaron aproximadamente $10,000n
Las críticas también se centraron en la liquidación planificada de la tesorería. Vender los tokens restantes controlados por el proyecto en un mercado ya debilitado podría generar presión adicional sobre la liquidez de ZC durante la ventana de cierre de negociación.

El valor de mercado de ZC se desploma mientras el proyecto prepara la venta final

Zipcoin alcanzó previamente un máximo histórico cerca de $0,043 el 4 de octubre, lo que implicaba una valuación totalmente diluida de aproximadamente $43 millones, según los datos de mercado registrados en DefiLlama. El valor del token posteriormente se desplomó, con su capitalización de mercado cayendo bruscamente a medida que los incidentes de seguridad y el anuncio de cierre dañaban la confianza de los inversores.

El cierre planificado de Zipcoin sigue a otros proyectos de criptomonedas que abandonaron infraestructura comprometida. En agosto, BounceBit cerró su Layer 1 tras un exploit de autorización de $3 millones, aunque optó por migrar su token a BNB Chain en lugar de discontinuar el resto de sus operaciones.

Zipcoin no ha anunciado un token de reemplazo, un programa de compensación ni un acuerdo formal de recuperación para los inversores afectados. El plan inmediato del equipo se centra en el período de salida de seis horas para los holders y la liquidación de aproximadamente 22 millones de tokens ZC restantes. No se ha revelado si los fondos se destinarán a algún proceso de recuperación o reembolso. Los puntos pendientes a observar son la demanda de reembolso disputada de Stockereum, el uso no revelado de los fondos de la liquidación y el alcance no confirmado del presunto compromiso del código fuente, ninguno de los cuales el anuncio de cierre ha resuelto hasta ahora.