Lùm xùm airdrop $ZK của zkSync: Phân phối 3,75 tỷ token và nội tình lỗ hổng bảo mật tháng 4

Quy mô airdrop và điều kiện tham gia

zkSync trong đợt airdrop $ZK năm 2025 đã phân bổ 17.5% tổng cung, khoảng 3.75 tỷ token. Tuy nhiên, “bữa tiệc” này không dành cho tất cả mọi người — Matter Labs đã đặt ra điều kiện tham gia khá khắt khe.

Theo snapshot ngày 24/3, chỉ có 695,000 ví đáp ứng đủ điều kiện nhận airdrop. Cụ thể các yêu cầu bao gồm:

• Tương tác với ít nhất 10 smart contract phi token trên zkSync Era
• Thực hiện tối thiểu 5 giao dịch sử dụng paymaster
• Giao dịch tối thiểu 10 loại token ERC-20 khác nhau trên DEX
• Cung cấp thanh khoản cho các giao thức DeFi
• Nắm giữ NFT Libertas Omnibus

Nói cách khác, đây là phần thưởng cho người dùng thực sự, chứ không phải “airdrop rác”.

Thời gian và quy trình nhận airdrop

Từ 17/6 đến 3/1, các địa chỉ đủ điều kiện có thể nhận token qua cổng chính thức claim.zknation.io. Quy trình gồm 4 bước: kết nối ví, xác minh địa chỉ, ủy quyền quyền biểu quyết và xác nhận giao dịch. Nghe thì đơn giản, nhưng ẩn chứa rủi ro lớn.

Sự cố bảo mật tháng 4: 111 triệu token bị đánh cắp

Trục trặc đã xảy ra. Tháng 4, hợp đồng airdrop zkSync gặp lỗ hổng bảo mật nghiêm trọng. Kẻ tấn công đã lợi dụng khóa quản trị bị chiếm quyền, sử dụng hàm sweepUnclaimed() để đúc trái phép khoảng 111 triệu token $ZK chưa được nhận, trị giá khoảng 5 triệu USD.

Đây không phải kiểu tấn công flash loan “cao siêu”, mà là lỗ hổng backdoor lộ liễu — hậu quả trực tiếp của việc mất kiểm soát quyền admin.

Phản ứng thị trường

Ngay sau khi tin tức lan ra, giá $ZK lao dốc 15-20%. Tâm lý thị trường chuyển từ “dự án ngôi sao Layer 2” sang “nguy cơ bảo mật” chỉ trong chốc lát. Tuy nhiên, may mắn là lỗ hổng chỉ ảnh hưởng đến hợp đồng airdrop, còn giao thức chính zkSync và tài sản người dùng không bị ảnh hưởng.

Góc nhìn tiếp theo

Sự kiện này cho thấy hai vấn đề cốt lõi:

1. Tính dễ tổn thương của quản lý quyền hạn — Ngay cả dự án lớn, bảo mật khóa admin vẫn còn những lỗ hổng rõ ràng
2. Độ phức tạp của cơ chế airdrop — Điều kiện càng cao, logic hợp đồng càng phức tạp, rủi ro càng lớn

Dẫu vậy, với vai trò là một mắt xích quan trọng trong hệ sinh thái Layer 2, hướng phát triển lâu dài của zkSync không thay đổi. Airdrop phơi bày điểm yếu, nhưng cũng thúc đẩy sự phân tán người dùng và tham gia hệ sinh thái — miễn là công tác bảo mật sau này được tăng cường đúng mức.