Giao thức cho vay phi tập trung zkLend chính thức thông báo ngừng hoạt động và sử dụng phần còn lại trong kho bạc để lập quỹ phục hồi người dùng sau sự cố khai thác nghiêm trọng trị giá 9,5 triệu USD vào tháng 2 cùng với mất thanh khoản Token.
Thông báo này được đăng tải trên kênh X chính thức của zkLend, đánh dấu sự kết thúc cho hành trình ngắn ngủi của giao thức DeFi dựa trên Starknet.
Thanh khoản cạn kiệt và quyết định ngừng hoạt động
Vụ khai thác và những biến động theo sau đã làm sụt giảm niềm tin vào Token ZEND của zkLend. Các sàn giao dịch lớn như Bybit và KuCoin đã hủy niêm yết ZEND trong vài tuần qua, kéo theo khối lượng giao dịch giảm mạnh và việc thoát vị thế trở nên gần như bất khả thi do giảm giá cao.
Với thanh khoản Token biến mất gần như hoàn toàn, nhóm phát triển zkLend nhận định không còn con đường khả thi để khởi động lại các thị trường tiền tệ (money markets).
Trong thông báo trên X, nhóm cốt lõi của zkLend cho biết:
“Trong hoàn cảnh hiện tại, chúng tôi tin rằng sử dụng 200.000 USD còn lại trong kho bạc để hỗ trợ những người dùng bị ảnh hưởng thông qua quỹ phục hồi là công việc có trách nhiệm và ý nghĩa hơn là tiếp tục phát triển và khởi động lại thị trường tiền tệ.”
Giao thức cũng thông báo người dùng có thể rút tiền đã stake hoặc gửi yêu cầu bồi hoàn thông qua các cổng DeFi Spring và kSTRK.
Đáng chú ý, zkLend vẫn hợp tác với zeroShadow – công ty điều tra blockchain đang theo dõi và truy tìm tài sản bị đánh cắp, với đánh giá bất kỳ khoản thu hồi nào sẽ được chuyển giao trở lại quỹ phục hồi.
Bên cạnh đó, zkLend cam kết trong vài tuần tới sẽ tung ra bộ mã nguồn đã được audit, khôi phục và mở để cộng đồng có thể phát triển hoặc fork dự án.
zkLend chưa thể hồi phục sau vụ hack tháng 2
Ra mắt chính thức trên mạng lưới chính Starknet vào cuối năm 2023, zkLend hướng đến cung cấp dịch vụ cho vay và mượn không giám sát qua “money markets” tối ưu lợi suất, dựa trên bằng chứng zero-knowledge để nâng cao throughput và giảm phí gas.
Tuy nhiên, vào ngày 11 tháng 2, một hacker đã lợi dụng lỗ hổng trong accumulator cho vay của zkLend thông qua flash loan và lỗi làm tròn, chiếm đoạt khoảng 9,5 triệu USD vào thời điểm đó.
Phân tích hậu sự cố của zkLend cho thấy kẻ tấn công đã khai thác điểm yếu để phình to trạng thái giao thức, nhanh chóng rút hết các khoản tiền gửi.
Trong những ngày tiếp theo, zkLend đã đề nghị hacker một khoản thưởng 10% để thu hồi các quỹ còn lại, nhưng hacker biến mất cho tới một diễn biến bất ngờ.
Ngày 31 tháng 3, hacker gửi một tin nhắn lên chuỗi với giá trị 0, cho biết đã mất 2.930 ETH do truy cập nhầm vào trang web lừa đảo giả mạo Tornado Cash. Tài liệu trên Etherscan ghi lại lời giải thích:
“Xin chào, tôi đã cố gắng chuyển tiền vào Tornado Cash nhưng lại dùng trang web phishing, khiến toàn bộ số tiền bị mất. Tôi cảm thấy thất vọng và xin lỗi vì những thiệt hại đã gây ra.”
Nhiều nhà điều tra tiền điện tử nghi ngờ câu chuyện này. Phân tích on-chain cho thấy giao dịch chuyển qua một địa chỉ vanity trên Ethereum và không thẳng đến trang Tornado Cash giả mạo. Việc hacker không tiết lộ tên trang phishing khiến nghi vấn càng lớn.
Cộng đồng DeFi phản ứng với tâm trạng pha trộn giữa đồng cảm, thất vọng và đề cao cảnh giác.
Trong tương lai gần, các nạn nhân sẽ theo dõi tiến độ điều tra của zeroShadow, đồng thời phiên bản hợp đồng luật đã audit chuẩn bị phát hành mã nguồn mở có thể tạo điều kiện cho các dự án fork hoặc startup kế thừa bài học từ zkLend.
