Câu chuyện zkSync airdrop thất bại: 111 triệu $ZK bị đánh cắp, giảm 15% trong 5 ngày

Năm 2025 vừa bắt đầu, airdrop $ZK của zkSync lẽ ra phải là thời khắc ăn mừng của hệ sinh thái Layer 2. Kết quả thì sao? Tháng 4 lại xảy ra một sự cố bảo mật cực kỳ xấu hổ.

Mặt hào nhoáng của airdrop

Từ tháng 6 năm ngoái đến tháng 1 năm nay, zkSync đã phân bổ 17,5% tổng nguồn cung token (3,675 tỷ $ZK) cho người dùng sớm. Điều kiện nhận airdrop khá khắt khe:

• Phải tương tác với ít nhất 10 smart contract không phải token trên zkSync Era
• Thực hiện ít nhất 5 giao dịch bằng paymaster
• Đã giao dịch trên DEX với hơn 10 loại token ERC-20
• Cung cấp thanh khoản DeFi hoặc sở hữu Libertas Omnibus NFT

Cuối cùng có hơn 690.000 ví đáp ứng đủ điều kiện. Trông có vẻ phân bổ khá đều.

Lỗ hổng bị phanh phui

Rồi đến tháng 4 thì nổ ra sự cố. Kẻ tấn công sử dụng khóa admin bị lộ, gọi hàm sweepUnclaimed(), từ đó “đúc” ra 111 triệu $ZK chưa được nhận, lúc đó trị giá khoảng 5 triệu USD.

Điểm then chốt: Chỉ hợp đồng airdrop bị ảnh hưởng, giao thức chính và tiền của người dùng vẫn an toàn. Nhưng như thế vẫn chưa đủ—thị trường phản ứng ngay lập tức, $ZK lao dốc 15-20%.

Hiện trạng và tương lai

Dù sự cố bảo mật đã để lại vết sẹo cho zkSync, dự án này vẫn có ý nghĩa lớn với mở rộng Ethereum. Đội ngũ thông báo sẽ tăng cường kiểm toán bảo mật và tiếp tục xây dựng hệ sinh thái.

Tóm lại: Việc thực hiện airdrop nhìn chung ổn, nhưng hàng rào bảo mật lại có lỗ hổng. Đây cũng là cái bẫy thường thấy của các dự án Layer 2—cân bằng giữa mở rộng nhanh và bảo vệ an toàn không dễ dàng chút nào.