ZKsync Thu Hồi Thành Công 5 Triệu USD Token Bị Đánh Cắp Từ Cuộc Tấn Công Airdrop
Sau gần 10 ngày căng thẳng, hệ sinh thái ZKsync đã chính thức xác nhận thu hồi toàn bộ số token ZK trị giá 5 triệu USD bị đánh cắp trong vụ tấn công vào hợp đồng airdrop hôm 15/04 vừa qua. Đây được xem là một cái kết “êm đẹp” cho một sự cố bảo mật nghiêm trọng từng khiến cộng đồng lo lắng.
Hacker lợi dụng lỗ hổng, chiếm quyền kiểm soát 111 triệu token ZK
Sự cố xảy ra khi một hacker chưa xác định danh tính đã khai thác lỗ hổng trong hợp đồng phân phối airdrop, qua đó chiếm quyền truy cập vào ví quản trị và “gom” về ví cá nhân 111 triệu token ZK – phần lớn trong số này thuộc diện chưa được người dùng claim từ đợt airdrop đầu tiên vào tháng 6/2024.
Tổng giá trị tài sản bị chiếm đoạt vào thời điểm đó rơi vào khoảng 5 triệu USD. Hacker sau đó nhanh chóng chuyển khoảng 3,5 triệu USD thành Ethereum (ETH), khiến nhiều người lo ngại toàn bộ số tiền có thể bị “rửa” thành công và không thể thu hồi.
Giải pháp “safe harbor” – Đòn tâm lý thay vì đối đầu pháp lý
Thay vì theo đuổi con đường pháp lý phức tạp, ZKsync đã lựa chọn một chiến lược bất ngờ: gửi thông điệp on-chain trực tiếp tới hacker, đề xuất chương trình “safe harbor” – nếu kẻ tấn công chịu hoàn trả 90% số token ZK đã đánh cắp, thì sẽ được miễn truy tố và giữ lại 10% như một phần thưởng bounty.
Đây được xem là giải pháp khôn ngoan, vừa giảm thiểu tổn thất cho dự án, vừa tránh được việc kéo dài tranh chấp pháp lý không chắc phần thắng.
Kết quả, hacker đã chấp nhận thỏa thuận và hoàn trả toàn bộ phần token còn lại đúng thời hạn.
Cộng đồng biểu quyết hướng sử dụng tài sản thu hồi
Vào sáng ngày 24/04, đội ngũ ZKsync xác nhận đã thu hồi toàn bộ 5 triệu USD token ZK bị đánh cắp. Hiện tại, đội ngũ phát triển đang phối hợp với cộng đồng để biểu quyết cách phân bổ hoặc xử lý số tài sản vừa thu hồi.
Tuy nhiên, hậu quả của vụ việc vẫn để lại dấu vết trên thị trường. Trong ngắn hạn, nguồn cung ZK bị “bơm thổi” gây xáo trộn nhẹ, khiến giá token giảm gần 4% ngay sau khi tin tức thu hồi được công bố.
Niềm tin vẫn còn, nhưng bài học vẫn phải nhớ
Dù ZKsync đã xử lý sự cố một cách mềm mỏng và hiệu quả, sự kiện lần này là lời nhắc nhở rõ ràng rằng: ngay cả những dự án hàng đầu trong hệ sinh thái zk-rollup cũng không thể chủ quan với khâu bảo mật.
Việc một hacker có thể xâm nhập và khai thác hợp đồng airdrop – dù không động chạm đến token contract hay tài sản người dùng – vẫn cho thấy điểm yếu cần được khắc phục triệt để trong các chiến dịch phân phối token.
ZKsync cho biết họ sẽ tiếp tục điều tra nguyên nhân sâu xa của lỗ hổng và nâng cấp toàn bộ hệ thống để ngăn ngừa các rủi ro tương tự trong tương lai.
Trong khi đó, cộng đồng vẫn đang chờ đợi quyết định cuối cùng về việc xử lý số token ZK vừa thu hồi – liệu sẽ được burn, tái phân phối hay dùng cho các chiến dịch cộng đồng mới?