هکر zkLend مدعی از دست دادن ETH سرقتی در سایت فیشینگ Tornado Cash شد
هکری که در فوریه ۹.۶ میلیون دلار از پروتکل وامدهی غیرمتمرکز zkLend سرقت کرده بود، ادعا میکند که قربانی یک وبسایت فیشینگ شده که خود را به جای Tornado Cash جا زده و بخش قابل توجهی از وجوه سرقتی را از دست داده است.
در پیامی که در ۳۱ مارس از طریق Etherscan به zkLend ارسال شد، این هکر ادعا کرد که ۲۹۳۰ اتر (ETH) از وجوه سرقتی را به یک وبسایت فیشینگ که به عنوان رابط کاربری Tornado Cash عمل میکرد، از دست داده است.
در مجموعهای از انتقالات در ۳۱ مارس، سارق zkLend هر بار ۱۰۰ اتر را به آدرسی به نام Tornado.Cash: Router ارسال کرد و با سه واریز ۱۰ اتر به پایان رساند.
این هکر گفت: «سلام، من سعی کردم وجوه را به Tornado منتقل کنم، اما از یک وبسایت فیشینگ استفاده کردم و تمام وجوه از دست رفته است. من ویران شدهام. برای تمام خرابیها و خساراتی که ایجاد شده، بسیار متاسفم.»
او افزود: «تمام ۲۹۳۰ اتر توسط صاحبان آن سایت گرفته شده است. من هیچ سکهای ندارم. لطفاً تلاشهای خود را به سمت صاحبان آن سایت هدایت کنید تا ببینید آیا میتوانید بخشی از پول را بازیابی کنید.»
zkLend در پاسخ به این پیام از هکر خواست تا «تمام وجوه باقیمانده در کیف پولهای خود» را به آدرس کیف پول zkLend بازگرداند. با این حال، طبق Etherscan، ۲۵ اتر دیگر به یک کیف پول به نام Chainflip1 ارسال شد.
پیشتر، کاربر دیگری به هکر درباره این اشتباه هشدار داده و به او گفته بود: «جشن نگیر»، زیرا تمام وجوه به URL جعلی Tornado Cash ارسال شده است. هکر در پاسخ گفت: «این بسیار ویرانگر است. همه چیز با یک وبسایت اشتباه از بین رفت.»
جزئیات حمله و پیشنهادات zkLend
zkLend در ۱۱ فوریه دچار یک حمله تخلیه بازار شد، زمانی که یک مهاجم با استفاده از یک سپرده کوچک و وامهای فوری، تجمعدهنده وام را افزایش داد. طبق گزارش پس از حادثه zkLend در ۱۴ فوریه، هکر سپس به طور مکرر وجوه را واریز و برداشت کرد و از خطاهای گرد کردن که به دلیل تجمعدهنده متورم قابل توجه شده بود، سوءاستفاده کرد.
مهاجم وجوه سرقتی را به اتریوم منتقل کرد و بعداً در شستشوی آنها از طریق Railgun ناکام ماند، زیرا سیاستهای پروتکل آنها را به آدرس اصلی بازگرداند.
پس از این حمله، zkLend پیشنهاد کرد که هکر میتواند ۱۰٪ از وجوه را به عنوان پاداش نگه دارد و در صورت بازگرداندن اتر باقیمانده، از مسئولیت قانونی و نظارت مجریان قانون معاف شود. مهلت این پیشنهاد در ۱۴ فوریه بدون پاسخ عمومی از سوی هیچ یک از طرفین به پایان رسید.
در بهروزرسانی ۱۹ فوریه به X، zkLend اعلام کرد که اکنون ۵۰۰,۰۰۰ دلار پاداش برای هر اطلاعات قابل تأیید که منجر به دستگیری هکر و بازیابی وجوه شود، ارائه میدهد.
آمار کلی ضررهای ناشی از کلاهبرداریهای کریپتو
طبق گزارش شرکت امنیت بلاکچین CertiK، ضررهای ناشی از کلاهبرداریها، سوءاستفادهها و هکهای کریپتو در فوریه بیش از ۳۳ میلیون دلار بود، اما پس از بازیابی وجوه سرقتی توسط تجمیعکننده صرافی غیرمتمرکز 1inch به ۲۸ میلیون دلار کاهش یافت.
ضررهای ناشی از کلاهبرداریها، سوءاستفادهها و هکهای کریپتو در فوریه نزدیک به ۱.۵۳ میلیارد دلار بود. حمله ۱.۴ میلیارد دلاری ۲۱ فوریه به Bybit توسط گروه لازاروس کره شمالی بخش عمدهای از این رقم را تشکیل داد و عنوان بزرگترین هک کریپتو را به خود اختصاص داد و هک ۶۵۰ میلیون دلاری پل Ronin در مارس ۲۰۲۲ را دو برابر کرد.