Zipcoin, een op Ethereum gebaseerd privacyproject, heeft zijn opheffing aangekondigd nadat een exploit tokens uit vergrendelde vestingposities had weggehaald en een afzonderlijke waarschuwing suggereerde dat de codebase en privésleutels van het project mogelijk zijn gecompromitteerd.

De beslissing van 22 oktober volgt op een inbreuk bij UNCX Network waardoor circa 1,1% van de totale ZC-aanvoer werd blootgesteld. Zipcoin probeerde de gevolgen aanvankelijk met door de treasury gefinancierde terugkopen te beperken, maar heeft de ontwikkeling nu gestaakt nadat de extra veiligheidszorgen naar boven kwamen.

Het team kondigde de beëindiging aan op X en gaf houders zes uur de tijd om hun posities te verlaten voordat een geplande liquidatie van de resterende treasury-allocatie van het project plaatsvindt, die circa 2,2% van de tokenaanvoer vertegenwoordigt. De verkoop was gepland voor 12.00 uur Amerikaanse oostelijke tijd op 22 oktober.

UNCX Vesting-exploit haalde bijna 11 miljoen ZC weg

De problemen van Zipcoin begonnen met de UNCX Smart Token Vesting V2-exploit op 14 oktober, toen aanvallers share-accounting-berekeningen manipuleerden om tokens van andere vestingposities op te nemen. Vestingcontracten van dit soort worden doorgaans gebruikt om team-, investeerders- en treasury-allocaties volgens vaste uitgifteschema's te vergrendelen, en de geëxploiteerde fout zat in de gedeelde vestinginfrastructuur van UNCX en niet in code die specifiek is voor Zipcoin.

Het lek trof 10 tokens op Ethereum, BNB Chain, Base en Robinhood Chain, met 11 bevestigde ongeautoriseerde opname-transacties, volgens de incidentmelding van UNCX.

Op Ethereum haalden aanvallers na verrekening van teruggegeven tokens ongeveer 10,84 miljoen ZC weg bij de vestingmanager, gelijk aan ruwweg 1,1% van de maximale aanvoer van één miljard tokens van Zipcoin. De belangrijkste aanvaller converteerde de gestolen ZC vervolgens naar circa 6,52 ETH, terwijl afzonderlijke copycat-transacties extra opbrengsten weghaalden.

Zipcoin bleef aanvankelijk operationeel en gebruikte treasury-middelen om terugkopen te ondersteunen. Een daaropvolgende veiligheidswaarschuwing gaf echter naar verluidt aan dat de volledige codebase was gecompromitteerd, waarbij mogelijk privésleutels en gevoelige projectinfrastructuur werden blootgesteld. Het team noemde deze extra dreiging als reden voor de beslissing te stoppen. Dit soort waarschuwingen heeft directe operationele gevolgen, omdat blootgestelde privésleutels ongeautoriseerde toegang tot alle door die sleutels beheerde middelen mogelijk maken.

De volledige omvang van de vermeende compromittering van de codebase, waaronder welke sleutels mogelijk zijn blootgesteld, is niet vastgesteld via een publiek technisch onderzoek. Een andere blootstelling van een codebase trof Grafana eerder dit jaar, toen ongeautoriseerde GitHub-toegang een aanvaller in staat stelde bedrijfsrepositories te downloaden. De gemelde zorgen van Zipcoin strekken zich uit tot mogelijk gecompromitteerde privésleutels, hoewel onafhankelijke bevestiging ontbreekt.

Stockereum eist terugbetaling van 12,66 ETH terwijl houders protesteren

De opheffing heeft kritiek veroorzaakt bij investeerders en bij Stockereum, de Ethereum-launchpad waarmee ZC oorspronkelijk in omloop kwam. In een bericht op X eiste Stockereum de terugbetaling van 12,66 ETH, met de stelling dat de fondsen naar de foundation-portemonnee van Zipcoin waren overgemaakt en na de opheffing hadden moeten worden teruggegeven.

Het transactiedashboard van de launchpad vermeldt ook een post van 12,660 ETH die gekoppeld aan de ZC Foundation, hoewel de precieze terugbetalingsverplichting omstreden blijft.

Communityleden vroegen zich af waarom het project stopte in plaats van de gecompromitteerde infrastructuur te isoleren, blootgestelde inloggegevens te roteren en een onafhankelijke veiligheidsbeoordeling uit te voeren. Dat zijn de standaard incidentrespons-maatregelen die projecten doorgaans nemen bij het beoordelen of de bedrijfsvoering veilig kan worden voortgezet, en critici vroegen zich af waarom direct voor een beëindiging werd gekozen. Sommige houders meldden aanzienlijke verliezen, waaronder individuele claims tot ongeveer $10.000.

De kritiek richtte zich ook op de geplande treasury-liquidatie. Het verkopen van de resterende door het project beheerde tokens in een reeds verzwakte markt kan tijdens het sluitende handelsvenster extra druk op de ZC-liquiditeit leggen.

ZC-marktwaarde stort in terwijl het project de definitieve verkoop voorbereidt

Zipcoin bereikte eerder een historisch hoogtepunt nabij $0,043 op 4 oktober, wat volgens marktgegevens bijgehouden op DefiLlama impliceert een volledig verdunde waardering van circa $43 miljoen. De waarde van de token stortte daarna in, waarbij de marktkapitalisatie scherp daalde toen de veiligheidsincidenten en de aankondiging van de opheffing het vertrouwen van investeerders schaadden.

De geplande beëindiging van Zipcoin volgt op andere cryptoprojecten die gecompromitteerde infrastructuur achterlaten. In augustus legde BounceBit zijn Layer 1 stil na een autorisatie-exploit van $3 miljoen, al koos het ervoor zijn token te migreren naar BNB Chain in plaats van de bredere bedrijfsvoering te staken.

Zipcoin heeft geen vervangende token, compensatieprogramma of formeel herstelarrangement aangekondigd voor getroffen investeerders. Het directe plan van het team draait om de exitperiode van zes uur voor houders en de liquidatie van circa 22 miljoen resterende ZC-tokens. Of de opbrengsten een herstel- of terugbetalingsproces zullen financieren, is niet bekendgemaakt. De open punten om in de gaten te houden zijn de omstreden terugbetalingseis van Stockereum, het onbekende gebruik van de liquidatieopbrengsten en de onbevestigde omvang van de gemelde compromittering van de code — geen daarvan is tot nu toe opgelost door de aankondiging van de beëindiging.