ZetaChain padł ofiarą hakerów, którzy zarobili 87 dolarów. Nie miliony. Dolarów.

Kryptowaluty miały w tym roku wiele złych dni, ale ten ma swoją puentę. Według wpisu Kreig_DK na X, ZetaChain został zhakowany „wczoraj”, a łączne straty wyniosły 87 dolarów. Kanał informacyjny KuCoin odtworzył to 23 października pod etykietą „mem dnia”.

Osiemdziesiąt siedem dolarów. Zła opłata za wymianę w spokojne popołudnie wyrządziłaby więcej szkody.

A teraz nudna część. Do 24 października nie mogę niczego potwierdzić. Nie znalazłem żadnego oświadczenia od ZetaChain, żadnego alertu od PeckShield ani CertiK, ani żadnego hasha transakcji dołączonego do posta. Na razie to roszczenie z dziwnym numerem, a nie zweryfikowany incydent.

Kwietniowy hack nie był żartem

Prawdziwy atak ZetaChain miał miejsce w kwietniu i nikt się nie śmiał. 27 kwietnia zespół ogłosił na X, że jego kontrakt GatewayEVM został zaatakowany, że ataki dotknęły tylko wewnętrzne portfele zespołu, a transakcje międzyłańcuchowe zostały wstrzymane. SlowMist zlokalizował przyczynę w funkcji wywołania w GatewayZEVM, która nie miała kontroli dostępu ani walidacji danych wejściowych. Tak, nazwy kontraktów różnią się w obu poleceniach.

Wstępne szacunki strat były bardzo rozbieżne. Block podał, że DefiLlama kosztowała 300 000 dolarów, podczas gdy Cryptopolitan twierdził, że włamanie pochłonęło mniej niż 10 000 dolarów. Analiza wykazała stratę 333 868 dolarów w dziewięciu transakcjach na Ethereum, Arbitrum, Base i BNB Smart Chain, pobranych z trzech portfeli zespołu. Serwisy informacyjne nie zgadzają się nawet co do daty: Block podaje 24 kwietnia, crypto.news – niedzielę, która miałaby być 26 kwietnia.

Atakujący odrobił pracę domową. Portfel został zasilony za pomocą Tornado Cash trzy dni wcześniej, wdrożono niestandardowy kontrakt na drenaż, a przed drenażem przeprowadzono kampanię zatruwania adresów, donosi crypto.news. Drenaż opierał się również na nielimitowanych zatwierdzeniach tokenów, których nikt nie cofnął. Co więcej, klasa podatności dotarła już do ZetaChain w ramach programu bug bounty, gdzie wstępne zgłoszenia zostały odrzucone jako celowe działanie.

Tego ostatniego szczegółu nie mogę zignorować. Utrata 334 tys. dolarów z portfeli drużyny to kosztowna lekcja. Dowiedzenie się o luce z wyprzedzeniem i zgłoszenie jej jako „zamierzonego działania” to zupełnie inny rodzaj zażenowania.

Kwietniowa strata była około 3800 razy większa niż 87 dolarów.

Łańcuch na wylocie

Dla tych, którzy przestali zwracać uwagę: ZetaChain wystartował w 2021 roku jako platforma interoperacyjności warstwy 1, oferując jeden łańcuch, który mógłby komunikować się z Bitcoinem, Ethereum i wszystkim innym. Według Cointelegraph, w 2023 roku zebrał 27 milionów dolarów od inwestorów, w tym Blockchain.com, Jane Street Capital, Human Capital i Sky9 Capital.

Ta propozycja w dużej mierze odeszła w zapomnienie. Według podsumowania TokenRadar, ZetaChain ogłosił 1 czerwca, że wycofuje swoje funkcje międzyłańcuchowe, aby skupić się na Anuma, prywatnej aplikacji AI. 20 września akcjonariusze przyjęli Propozycję 68 z 99,4% poparciem przy 58% frekwencji, przy 40% kworum. Plan: przenieść ZETA do Solana jako token SPL w stosunku 1:1 i ostatecznie zamknąć L1. Według relacji CryptoRank, projekt Anuma ma już 300 000 użytkowników.

Głosowanie niczego nie zablokowało. Druga propozycja musi jeszcze ustalić migawkę, okno wypłaty i datę zatrzymania, więc L1 nadal działa. ZETA utrzymywała się na poziomie około 0,0407 USD na stronie KuCoin, spadając o około 1,7% w ciągu dnia. Pod koniec kwietnia kurs wynosił około 0,054 USD, według Cryptopolitan.

ZetaChain nie jest jedyną firmą, która się pakuje. BounceBit wycofał swój niezależny łańcuch w sierpniu po tym, jak błąd autoryzacji kosztował go około 3 miliony dolarów w tokenach BB. Harmony zaproponował zamknięcie własnej warstwy 1 6 września, kilka tygodni po tym, jak exploit doprowadził do wygenerowania nieautoryzowanych tokenów ONE, donosi Cointelegraph.

Ile więc wyniosło te 87 dolarów?

Nie wiem i o ile mi wiadomo, nikt nie powiedział tego publicznie. Oto moje przypuszczenie, i to tylko przypuszczenie: pozostałe zatwierdzenia tokenów. Po kwietniu ZetaChain poinformował wszystkich, którzy korzystali z kontraktów bramowych, o cofnięciu uprawnień ERC-20, a Blockaid 27 kwietnia wystosował tę samą poradę, kierując ludzi do Revoke.cash. Niektórzy z pewnością nigdy tego nie zrobili. Osoba wysysająca nieaktualne zatwierdzenia od starych użytkowników upadającego łańcucha prawdopodobnie zarobiłaby dolary, a nie dolary z przecinkami.

Pozostałe opcje są mniej interesujące: mała transakcja testowa lub tracker oznaczający kurz jako atak hakerski. Wybierz swoją ulubioną.

Dla porównania, PeckShield odnotował 55 poważnych incydentów i około 766,5 miliona dolarów skradzionych we wrześniu, co jak dotąd jest najgorszym miesiącem 2026 roku. CertiK odnotował 97 incydentów i 768,4 miliona dolarów skradzionych, a ich łączna wartość w 2026 roku wyniosła 2,68 miliarda dolarów w 656 incydentach, według Bitbase. Żaden z paneli nie odnotuje kwoty 87 dolarów.

Jeśli kiedykolwiek zatwierdziłeś umowy z bramkami ZetaChain, wejdź na Revoke.cash i je wyczyść. Zajmie to chwilę i zazwyczaj kosztuje mniej niż 87 dolarów, z których wszyscy się śmialiśmy.