Zipcoin — приватностный проект на базе Ethereum — объявил о прекращении работы после эксплойта, в результате которого были выведены токены из заблокированных вестинг-позиций, и отдельного предупреждения о возможной компрометации его кодовой базы и приватных ключей.

Решение от 22 октября последовало за инцидентом безопасности в UNCX Network, в результате которого подверглось риску около 1,1% от общего предложения ZC. Zipcoin изначально пытался сдержать последствия с помощью выкупа токенов за счет казначейства, но теперь отказался от разработки после появления дополнительных угроз безопасности.

Команда объявила о сворачивании проекта в X, дав держателям шестичасовое окно для выхода из позиций перед запланированной ликвидацией оставшегося казначейского распределения проекта, составляющего примерно 2,2% от предложения токенов. Продажа была назначена на полдень по восточному времени США 22 октября.

Эксплойт вестинга UNCX вывел почти 11 млн ZC

Трудности Zipcoin начались с эксплойта UNCX Smart Token Vesting V2 14 октября, когда злоумышленники манипулировали внутренними расчетами учета долей, чтобы вывести токены, принадлежавшие другим вестинг-позициям. Вестинг-контракты такого рода обычно используются для блокировки распределений команд, инвесторов и казначейства по фиксированному графику выпуска, а использованная уязвимость находилась в общей вестинг-инфраструктуре UNCX, а не в коде, специфичном для Zipcoin.

По данным официального сообщения UNCX об инциденте, уязвимость затронула 10 токенов в сетях Ethereum, BNB Chain, Base и Robinhood Chain, зафиксировано 11 несанкционированных транзакций вывода.

В сети Ethereum злоумышленники вывели из вестинг-менеджера примерно 10,84 млн ZC с учетом возвращенных токенов, что эквивалентно около 1,1% от максимального предложения Zipcoin в один милли токенов. Основной злоумышленник впоследствии конвертировал украденные ZC примерно в 6,52 ETH, а отдельные транзакции подражателей извлекли дополнительную выгоду.

Изначально Zipcoin продолжал работу и использовал ресурсы казначейства для поддержки выкупов токенов. Однако, по имеющимся сведениям, последующее предупреждение о безопасности указывало, что вся его кодовая база могла быть скомпрометирована, что потенциально раскрывало приватные ключи и чувствительную проектную инфраструктуру. Команда сослалась на эту дополнительную угрозу при принятии решения о закрытии. Подобные предупреждения имеют прямые операционные последствия, поскольку скомпрометированные приватные ключи дают несанкционированный доступ ко всем средствам, которые они контролируют.

Полный масштаб предполагаемой компрометации кодовой базы, включая то, какие ключи могли быть раскрыты, не установлен в ходе публичного технического расследования. В начале этого года другая утечка кодовой базы затронула Grafana: несанкционированный доступ к GitHub позволил злоумышленнику скачать корпоративные репозитории. Заявленные опасения Zipcoin распространяются на потенциально скомпрометированные приватные ключи, хотя независимое подтверждение отсутствует.

Stockereum требует возврата 12,66 ETH, держатели протестуют

Закрытие вызвало критику со стороны инвесторов и Stockereum — лончера на Ethereum, через который ZC изначально вышел в обращение. В посте в X Stockereum потребовал возврата 12,66 ETH, утверждая, что средства были переведены на кошелек фонда Zipcoin и должны быть возвращены после прекращения работы проекта.

На транзакционном дашборде лончера также зафиксирована запись на 12,660 ETH, связанная с ZC Foundation, хотя точная сумма обязательства по возврату остается спорной.

Участники сообщества задавались вопросом, почему проект закрывается, а не изолирует скомпрометированную инфраструктуру, не меняет раскрытые учетные данные и не проводит независимый аудит безопасности. Эти шаги — стандартные меры реагирования на инциденты, которые проекты обычно предпринимают, оценивая возможность безопасного продолжения работы, и критики поставили под сомнение решение сразу перейти к сворачиванию. Некоторые держатели сообщили о существенных инвестиционных потерях, включая индивидуальные претензии на суммы около $10 000.

Волна недовольства коснулась и запланированной ликвидации казначейства. Продажа оставшихся токенов под контролем проекта на и без того ослабленном рынке может оказать дополнительное давление на ликвидность ZC в течение закрывающего торгового окна.

Рыночная стоимость ZC обрушилась перед финальной продажей

Ранее Zipcoin достиг исторического максимума около $0,043 4 октября, что подразумевало полностью разводненную оценку примерно в $43 млн, согласно рыночным данным, отслеживаемым на DefiLlama. Впоследствии стоимость токена обрушилась: рыночная капитализация резко упала, поскольку инциденты безопасности и объявление о закрытии подорвали доверие инвесторов.

Запланированное закрытие Zipcoin продолжает череду криптопроектов, отказавшихся от скомпрометированной инфраструктуры. В августе BounceBit закрыла свой Layer 1 после эксплойта авторизации на $3 млн, хотя вместо прекращения более широкой деятельности opted перенести свой токен в BNB Chain.
Zipcoin не объявил ни о токене-заменителе, ни о программе компенсаций, ни о формальном механизме восстановления для пострадавших инвесторов. Ближайший план команды сосредоточен на шестичасовом периоде выхода для держателей и ликвидации примерно 22 млн оставшихся токенов ZC. Будут ли вырученные средства направлены на какой-либо процесс восстановления или возврата средств, не раскрыто. Открытые вопросы, за которыми стоит следить, — это оспариваемое требование Stockereum о возврате средств, нераскрытое использование выручки от ликвидации и неподтвержденный масштаб заявленной компрометации кодовой базы — ни один из них объявление о сворачивании пока не разрешило.