Zipcoin, progetto di privacy basato su Ethereum, ha annunciato lo shutdown dopo un exploit che ha drenato token bloccati in posizioni di vesting e un successivo avvertimento secondo cui il suo codebase e le sue chiavi private potrebbero essere stati compromessi.

La decisione del 22 ottobre fa seguito a una violazione della sicurezza presso UNCX Network che ha esposto circa l'1,1% dell'offerta totale di ZC. Zipcoin aveva inizialmente tentato di contenere le conseguenze tramite riacquisti di token finanziati dalla treasury, ma ha ora abbandonato lo sviluppo dopo la comparsa delle ulteriori preoccupazioni di sicurezza.

Il team ha annunciato la chiusura su X, concedendo agli holder una finestra di sei ore per uscire dalle proprie posizioni prima di una liquidazione pianificata dell'allocazione residua della treasury del progetto, che rappresenta circa il 2,2% dell'offerta di token. La vendita era programmata per mezzogiorno ora della costa orientale statunitense del 22 ottobre.

L'exploit del vesting di UNCX ha drenato quasi 11 milioni di ZC

Le difficoltà di Zipcoin sono iniziate con l'exploit di UNCX Smart Token Vesting V2 del 14 ottobre, quando gli attaccanti hanno manipolato i calcoli interni di contabilizzazione delle quote per ritirare token appartenenti ad altre posizioni di vesting. Contratti di vesting di questo tipo sono comunemente usati per bloccare allocazioni di team, investitori e treasury su calendari di rilascio fissi, e la vulnerabilità sfruttata risiedeva nell'infrastruttura di vesting condivisa di UNCX e non nel codice specifico di Zipcoin.

La vulnerabilità ha interessato 10 token su Ethereum, BNB Chain, Base e Robinhood, con 11 transazioni di prelievo non autorizzate confermate, secondo la divulgazione dell'incidente di UNCX.

Su Ethereum, gli attaccanti hanno rimosso circa 10,84 milioni di ZC dal gestore di vesting dopo aver tenuto conto dei token restituiti, equivalenti a circa l'1,1% dell'offerta massima di un miliardo di token di Zipcoin. L'attaccante principale ha successivamente convertito lo ZC rubato in circa 6,52 ETH, mentre transazioni imitatrici separate hanno estratto ulteriori proventi.

Zipcoin aveva inizialmente continuato a operare e utilizzato le risorse della treasury per sostenere i riacquisti di token. Tuttavia, un successivo avvertimento di sicurezza avrebbe indicato che l'intero codebase era stato compromesso, esponendo potenzialmente chiavi private e infrastrutture sensibili del progetto. Il team ha citato questa ulteriore minaccia nella decisione di chiudere. Avvertimenti di questo tipo hanno conseguenze operative dirette, poiché chiavi private esposte consentirebbero l'accesso non autorizzato a tutti i fondi controllati da quelle chiavi.

L'entità completa della presunta compromissione del codebase, incluse le chiavi che potrebbero essere state esposte, non è stata accertata tramite un'indagine tecnica pubblica. Una diversa esposizione di codebase aveva coinvolto Grafana all'inizio di quest'anno, quando un accesso GitHub non autorizzato aveva permesso a un attaccante di scaricare i repository aziendali. Le preoccupazioni riportate per Zipcoin si estendono a chiavi private potenzialmente compromesse, anche se una conferma indipendente non è ancora disponibile.

Stockereum chiede la restituzione di 12,66 ETH mentre gli holder protestano

La chiusura ha scatenato critiche da parte degli investitori e di Stockereum, la launchpad Ethereum tramite cui ZC era entrato originariamente in circolazione. In un post su X, Stockereum ha chiesto la restituzione di 12,66 ETH, sostenendo che i fondi erano stati trasferiti al wallet della fondazione di Zipcoin e dovrebbero essere restituiti dopo lo shutdown.

La dashboard delle transazioni della launchpad registra anche una voce di 12,660 ETH associata alla ZC Foundation, anche se l'obbligo di rimborso preciso rimane contestato.

I membri della community hanno chiesto perché il progetto stesse chiudendo anziché isolare l'infrastruttura compromessa, ruotare le credenziali esposte e condurre una revisione di sicurezza indipendente. Questi passaggi sono le misure standard di risposta agli incidenti che i progetti adottano tipicamente quando valutano se le operazioni possano continuare in sicurezza, e i critici hanno messo in dubbio la decisione di passare direttamente alla chiusura. Alcuni holder hanno segnalato perdite di investimento sostanziose, con singole richieste che raggiungono circa 10.000 dollari.

Le reazioni negative si sono concentrate anche sulla liquidazione pianificata della treasury. Vendere i token rimanenti controllati dal progetto in un mercato già indebolito potrebbe creare pressione aggiuntiva sulla liquidità di ZC durante la finestra di negoziazione di chiusura.

Il valore di mercato di ZC crolla mentre il progetto prepara la vendita finale

Zipcoin aveva precedentemente raggiunto un massimo storico vicino a 0,043 dollari il 4 ottobre, implicando una valutazione completamente diluita di circa 43 milioni di dollari, secondo i di mercato tracciati su DefiLlama. Il valore del token è successivamente crollato, con la capitalizzazione di mercato in forte calo mentre gli incidenti di sicurezza e l'annuncio dello shutdown hanno danneggiato la fiducia degli investitori.

La chiusura pianificata di Zipcoin fa seguito ad altri progetti di criptovalute che hanno abbandonato infrastrutture compromesse. Ad agosto, BounceBit ha spento la sua Layer 1 dopo un exploit di autorizzazione da 3 milioni di dollari, anche se ha optato per migrare il proprio token su BNB Chain anziché interrompere le operazioni più ampie.

Zipcoin non ha annunciato un token sostitutivo, un programma di compensazione o un accordo formale di recupero per gli investitori coinvolti. Il piano immediato del team si concentra sulla finestra di uscita di sei ore per gli holder e sulla liquidazione dei circa 22 milioni di token ZC rimanenti. Se i proventi finanzieranno un processo di recupero o rimborso non è stato reso noto. I punti ancora aperti da monitorare sono la richiesta di rimborso contestata di Stockereum, l'uso non divulgato dei proventi della liquidazione e la portata non confermata della presunta compromissione del codebase, nessuna delle quali l'annuncio di chiusura ha finora risolto.