Zipcoin, projekt prywatności oparty na Ethereum, ogłosił zamknięcie po eksploicie, który spowodował wyprowadzenie tokenów z zablokowanych pozycji vestingowych, oraz po osobnym ostrzeżeniu, że jego kod źródłowy i klucze prywatne mogły zostać przejęte.

Decyzja z 22 października nastąpiła po naruszeniu bezpieczeństwa w UNCX Network, które ujawniło około 1,1% całkowitej podaży ZC. Zipcoin początkowo próbował opanować skutki skupami tokenów finansowanymi ze skarbca, ale po ujawnieniu dodatkowych zagrożeń bezpieczeństwa porzucił rozwój projektu.

Zespół ogłosił zamknięcie projektu na X, dając posiadaczom sześciogodzinne okno na wyjście z pozycji przed planowanym spieniężeniem pozostałej alokacji skarbca projektu, stanowiącej około 2,2% podaży tokenów. Sprzedaż była zaplanowana na godzinę 12:00 czasu wschodnioamerykańskiego 22 października.

Eksploit vestingowy UNCX osuszył prawie 11 mln ZC

Problemy Zipcoina rozpoczęły się od eksploitu UNCX Smart Token Vesting V2 14 października, gdy atakujący zmodyfikowali wewnętrzne obliczenia księgowania udziałów, aby wyprowadzić tokeny należące do innych pozycji vestingowych. Kontrakty vestingowe tego typu są powszechnie wykorzystywane do blokowania alokacji zespołów, inwestorów i skarbców według stałych harmonogramów uwolnienia, a wykorzystana wada znajdowała się we współdzielonej infrastrukturze vestingowej UNCX, a nie w kodzie specyficznym Zipcoina.

Podatność dotknęła 10 tokenów w sieciach Ethereum, BNB Chain, Base i Robinhood Chain, z 11 potwierdzonymi nieautoryzowanymi transakcjami wypłat, zgodnie z raportem o incydencie UNCX.

W sieci Ethereum atakujący usunęli approximately 10,84 mln ZC z menedżera vestingowego po uwzględnieniu zwróconych tokenów, co odpowiada około 1,1% maksymalnej podaży Zipcoina wynoszącej miliard tokenów. Główny atakujący następnie zamienił skradzione ZC na approximately 6,52 ETH, a osobne transakcje kopiujące wyodrębniły dodatkowe środki.

Zipcoin początkowo kontynuował działalność i wykorzystywał zasoby skarbca do wspierania skupów tokenów. Jednak późniejsze ostrzeżenie o bezpieczeństwie wskazywało rzekomo, że cały jego kod źródłowy został przejęty, co mogło ujawnić klucze prywatne i wrażliwą infrastrukturę projektu. Zespół powołał się na to dodatkowe zagrożenie przy podejmowaniu decyzji o zamknięciu. Ostrzeżenia tego rodzaju mają bezpośrednie konsekwencje operacyjne, ponieważ ujawnione klucze prywatne pozwalałyby na nieautoryzowany dostęp do wszelkich środków, którymi te klucze zarządzają.

Pełny zakres rzekomego przejęcia kodu źródłowego, w tym które klucze mogły zostać ujawnione, nie został ustalony w ramach publicznego dochodzenia technicznego. Inne ujawnienie kodu źródłowego dotknęło Grafanę wcześniej w tym roku, gdy nieautoryzowany dostęp do GitHuba pozwolił atakującemu pobrać repozytoria firmy. Zgłaszane obawy Zipcoina sięgają potencjalnie przejętych kluczy prywatnych, choć niezależne potwierdzenie pozostaje niedostępne.

Stockereum żąda zwrotu 12,66 ETH, a posiadacze protestują

Zamknięcie wywołało krytykę ze strony inwestorów oraz Stockereum, launchpada Ethereum, poprzez który ZC pierwotnie trafiło do obiegu. W wpisie na X Stockereum zażądał zwrotu 12,66 ETH, twierdząc, że środki zostały przeniesione na portfel fundacji Zipcoina i powinny zostać zwrócone po zamknięciu projektu.

Panel transakcyjny launchpada zawiera również wpis 12,660 ETH powiązany z ZC Foundation, choć dokładny zakres obowiązku zwrotu pozostaje sporny.

Członkowie społeczności kwestionowali, dlaczego projekt zamyka się, zamiast odizolować przejętą infrastrukturę, wymienić ujawnione poświadczenia i przeprowadzić niezależny przegląd bezpieczeństwa. Te kroki to standardowe środki reagowania na incydenty, które projekty zazwyczaj podejmują przy ocenie czy działalność może bezpiecznie trwać, a krytycy kwestionowali decyzję o przejściu od razu do zamknięcia. Niektórzy posiadacze zgłosili znaczne straty inwestycyjne, w tym indywidualne roszczenia sięgające około 10 000 USD.

Krytyka skupiła się również na planowanym spieniężeniu skarbca. Sprzedaż pozostałych tokenów kontrolowanych przez projekt na już osłabionym rynku mogłaby wywołać dodatkową presję na płynność ZC w końcowym oknie handlowym.

Wartość rynkowa ZC się załamuje, a projekt przygotowuje się do ostatecznej sprzedaży

Zipcoin osiągnął wcześniej historyczny maksimum na poziomie około 0,043 USD 4 października, co sugerowało w pełni rozwodnioną wycenę około 43 mln USD, zgodnie z danymi rynkowymi śledzonymi na DefiLlamie. Wartość tokena następnie się załamała, a jej kapitalizacja rynkowa gwałtownie spadła, gdy incydenty bezpieczeństwa i ogłoszenie zamknięcia projektu podkopały zaufanie inwestorów.

Planowane zamknięcie Zipcoina następuje po innych projektach kryptowalutowych porzucających przejętą infrastrukturę. W sierpniu BounceBit zamknął swoją warstwę Layer 1 po eksploicie autoryzacji o wartości 3 mln USD, choć zdecydował się na migrację tokena do BNB Chain, zamiast kończyć całą działalność.

Zipcoin nie ogłosił tokena zastępczego, programu rekompensat ani formalnego planu odzyskiwania środków dla poszkodowanych inwestorów. Bezpośredni plan zespołu koncentruje się na sześciogodzinnym okresie wyjścia dla posiadaczy oraz spieniężeniu około 22 mln pozostałych tokenów ZC. Czy dochody sfinansują jakikolwiek proces odzyskiwania lub zwrotu środków, nie zostało ujawnione. Kwestiami otwartymi do obserwacji są sporny żądanie zwrotu ze strony Stockereum, nieujawnione przeznaczenie dochodów ze spieniężenia oraz niepotwierdzony zakres rzekomego przejęcia kodu źródłowego – żaden z nich nie został dotąd rozwiązany w ogłoszeniu o zamknięciu projektu.