Zipcoin ferme après l'exploit d'UNCX et une alerte de compromission de sa base de code
Points clés
- •L'exploit d'UNCX Smart Token Vesting V2 du 14 octobre a permis à des attaquants de manipuler les calculs de comptabilisation des parts pour retirer environ 10,84 millions de ZC, soit environ 1,1 % de l'offre maximale de Zipcoin, que l'attaquant principal a convertis en environ 6,52 ETH.
- •Une alerte de sécurité ultérieure suggère que l'ensemble de la base de code et les clés privées de Zipcoin pourraient avoir été compromis, et l'équipe a invoqué cette menace dans sa décision d'arrêter le développement, bien qu'aucune confirmation indépendante de la compromission ne soit encore disponible.
- •Zipcoin a programmé une période de sortie de six heures pour les détenteurs avant une liquidation prévue à midi, heure de l'Est des États-Unis, le 22 octobre, d'environ 22 millions de tokens de trésorerie restants, soit environ 2,2 % de l'offre de tokens.
- •Stockereum, la launchpad Ethereum par laquelle le ZC est entré en circulation à l'origine, exige le remboursement de 12,66 ETH qu'elle dit avoir été transférés vers le portefeuille de la fondation de Zipcoin, une obligation qui reste contestée.
- •Le ZC a culminé près de 0,043 $ le 4 octobre, impliquant une valorisation entièrement diluée d'environ 43 millions de dollars, avant que sa capitalisation boursière ne s'effondre, et Zipcoin n'a annoncé ni token de remplacement, ni programme de compensation, ni usage divulgué des produits de la liquidation.
Zipcoin, un projet de confidentialité basé sur Ethereum, a annoncé sa fermeture après un exploit ayant drainé des tokens verrouillés dans des positions de vesting et une alerte distincte indiquant que sa base de code et ses clés privées pourraient avoir été compromises.
La décision du 22 octobre fait suite à une faille de sécurité au sein d'UNCX Network qui a exposé environ 1,1 % de l'offre totale de ZC. Zipcoin avait d'abord tenté de limiter les dégâts par des rachats de tokens financés par la trésorerie, mais a désormais abandonné le développement après la survenue de ces nouvelles préoccupations de sécurité.
L'équipe a annoncé la dissolution sur X, accordant aux détenteurs une fenêtre de six heures pour sortir de leurs positions avant une liquidation prévue de l'allocation de trésorerie restante du projet, représentant environ 2,2 % de l'offre de tokens. La vente était programmée pour midi, heure de l'Est des États-Unis, le 22 octobre.
L'exploit de vesting d'UNCX a drainé près de 11 millions de ZC
Les difficultés de Zipcoin ont commencé avec l'exploit d'UNCX Smart Token Vesting V2 le 14 octobre, lorsque des attaquants ont manipulé les calculs internes de comptabilisation des parts pour retirer des tokens appartenant à d'autres positions de vesting. Ce type de contrats de vesting est couramment utilisé pour verrouiller les allocations des équipes, des investisseurs et de la trésorerie selon des calendriers de libération fixes, et la faille exploitée se trouvait dans l'infrastructure de vesting partagée d'UNCX plutôt que dans le code propre à Zipcoin.
La vulnérabilité a affecté 10 tokens sur Ethereum, BNB Chain, Base et Robinhood Chain, avec 11 transactions de retrait non autorisées confirmées, selon la divulgation d'incident d'UNCX.
Sur Ethereum, les attaquants ont retiré environ 10,84 millions de ZC du gestionnaire de vesting après déduction des tokens restitués, soit l'équivalent d'environ 1,1 % de l'offre maximale d'un milliard de tokens de Zipcoin. L'attaquant principal a ensuite converti le ZC volé en environ 6,52 ETH, tandis que des transactions imitatrices distinctes ont extrait des gains supplémentaires.
Zipcoin a d' continué à opérer et a utilisé des ressources de trésorerie pour soutenir les rachats de tokens. Cependant, une alerte de sécurité ultérieure a indiqué que l'ensemble de sa base de code avait été compromise, exposant potentiellement des clés privées et une infrastructure de projet sensible. L'équipe a invoqué cette menace supplémentaire dans sa décision de fermer. De telles alertes ont des conséquences opérationnelles directes, car des clés privées exposées permettraient un accès non autorisé à tous les fonds qu'elles contrôlent.
L'étendue réelle de la compromission présumée de la base de code, y compris les clés qui auraient pu être exposées, n'a pas été établie par une enquête technique publique. Une exposition différente de base de code a affecté Grafana plus tôt cette année, lorsqu'un accès GitHub non autorisé a permis à un attaquant de télécharger des dépôts de l'entreprise. Les préoccupations signalées de Zipcoin s'étendent à des clés privées potentiellement compromises, bien qu'aucune confirmation indépendante ne soit disponible.
Stockereum exige le remboursement de 12,66 ETH tandis que les détenteurs protestent
La fermeture a déclenché des critiques d'investisseurs et de Stockereum, la launchpad Ethereum par laquelle le ZC est entré en circulation à l'origine. Dans un post sur X, Stockereum a exigé le remboursement de 12,66 ETH, affirmant que les fonds avaient été transférés vers le portefeuille de la fondation de Zipcoin et devaient être restitués après la fermeture.
Le tableau de bord des transactions de la launchpad enregistre également une entrée de 12,660 ETH associée à la ZC Foundation, bien que l'obligation de remboursement précise reste contestée.
Des membres de la communauté se sont demandé pourquoi le projet fermait plutôt que d'isoler l'infrastructure compromise, de renouveler les identifiants exposés et de mener une revue de sécurité indépendante. Ces étapes sont les mesures standard de réponse aux incidents que les projets prennent généralement pour évaluer si les opérations peuvent continuer en toute sécurité, et les critiques ont interrogé la décision de passer directement à une dissolution. Certains détenteurs ont signalé des pertes d'investissement substantielles, avec des réclamations individuelles atteignant environ 10 000 $.
Les réactions ont également porté sur la liquidation de trésorerie prévue. Vendre les tokens restants contrôlés par le projet sur un marché déjà affaibli pourrait créer une pression supplémentaire sur la liquidité du ZC pendant la fenêtre de négociation de clôture.
La valeur de marché du ZC s'effondre alors que le projet prépare sa vente finale
Zipcoin avait précédemment atteint un record historique proche de 0,043 $ le 4 octobre, impliquant une valorisation entièrement diluée d'environ 43 millions de dollars, selon les données de marché suivies sur DefiLlama. La valeur du token s'est ensuite effondrée, avec une capitalisation boursière en forte baisse alors que les incidents de sécurité et l'annonce de fermeture ont entamé la confiance des investisseurs.
La fermeture prévue de Zip fait suite à d'autres projets de cryptomonnaie abandonnant des infrastructures compromises. En août, BounceBit a fermé sa Layer 1 après un exploit d'autorisation de 3 millions de dollars, mais avait choisi de migrer son token vers BNB Chain plutôt que d'interrompre l'ensemble de ses opérations.
Zipcoin n'a annoncé ni token de remplacement, ni programme de compensation, ni dispositif de récupération formel pour les investisseurs affectés. Le plan immédiat de l'équipe se concentre sur la période de sortie de six heures pour les détenteurs et la liquidation d'environ 22 millions de tokens ZC restants. L'usage des produits pour financer un processus de récupération ou de remboursement n'a pas été divulgué. Les points ouverts à surveiller sont la demande de remboursement contestée de Stockereum, l'usage non divulgué des produits de la liquidation et l'étendue non confirmée de la compromission signalée de la base de code, aucun de ces points n'ayant été résolu par l'annonce de dissolution à ce jour.
