В мире децентрализованных финансов (DeFi) безопасность и доверие пользователей являются ключевыми факторами успешного развития проектов. Недавний инцидент с ZkLend, протоколом, построенным на базе StarkNet, стал еще одним ярким примером того, как масштабный взлом может серьезно подорвать позиции даже перспективного стартапа. В феврале 2025 года ZkLend объявил о взломе, в результате которого злоумышленник похитил около 9,6 миллиона долларов в криптовалюте. Этот инцидент оказался фатальным для проекта, приведя к его окончательному закрытию всего спустя четыре месяца. История ZkLend напоминает о рисках в DeFi и важности комплексного подхода к безопасности, а также о сложностях восстановления после серьезных кибератак.
ZkLend был запущен с поддержкой известных игроков криптоиндустрии, включая Three Arrows Capital, StarkWare и Delphi Digital. Проект позиционировал себя как децентрализованный рынок предоставления займов, предлагая пользователям и институциональным инвесторам комплексные решения для кредитования и заимствования с использованием StarkNet — Layer 2 решения, с акцентом на безопасность и масштабируемость. В начале своей работы ZkLend привлек порядка 5 миллионов долларов инвестиций и планировал вывести на рынок два продукта — Artemis для розничных инвесторов и Apollo для институциональных клиентов. Разработка и запуск были встречены большим интересом, а TVL (общая заблокированная стоимость) в протоколе демонстрировал устойчивый рост, что подчеркивало потенциал платформы. Однако к февралю 2025 года произошла катастрофа.
Неустановленный хакер использовал уязвимость в протоколе и сумел вывести с платформы около 3300 ETH, что на тот момент составляло почти 9,6 миллиона долларов. Утечка средств мгновенно вызвала волну паники среди пользователей и инвесторов, а доверие к ZkLend начало стремительно падать. Помимо потерь, проблему усугубило решение нескольких крупных криптовалютных бирж, таких как Bybit и KuCoin, исключить токен ZEND из своего листинга, что ограничило ликвидность и доступность актива для пользователей. Команда проекта попыталась разрешить кризис, публично предложив злоумышленнику 10-процентный «белый» бонус за возврат украденных средств, одновременно заявляя, что при отсутствии ответа намерена привлечь правоохранительные органы к расследованию инцидента. Этот шаг продемонстрировал стремление к решению проблемы в конструктивном русле, но не смог предотвратить дальнейший упадок доверия.
Владельцы протокола продолжали сотрудничество с фирмой по безопасности ZeroShadow, надеясь вернуть хотя бы часть средств и минимизировать ущерб пользователям. Май 2025 года принес новый неожиданный поворот. Злоумышленник связался с командой ZkLend и заявил, что большая часть похищенных денег была потеряна в результате собственной ошибки: во время попытки вывести криптовалюту он сфальсифицировался и попал на поддельный сайт Tornado Cash — популярного сервиса для миксинга средств и повышения анонимности переводов. В результате этой фишинговой атаки хакер потерял примерно 2930 ETH, что стало существенным финансовым ударом и для него, и для общей ситуации с украденными активами. Такая история практически уникальна и вызвала бурные обсуждения в криптосообществе о сложностях и рисках взаимодействия с элементами анонимности и приватности в блокчейне.
Несмотря на все попытки спасти проект, 25 июня команда объявила о полном закрытии ZkLend. В официальном сообщении было указано, что из-за потери доверия пользователей, снижения доступности токена и финансовых последствий эксплоита дальнейшее функционирование платформы стало невозможным. Взамен было объявлено, что оставшиеся в казне $200,000 будут направлены на компенсацию пострадавших пользователей, а процесс возврата средств будет осуществляться через специальный портал восстановления. Тем не менее, планы на возобновление работы в прежнем формате не рассматривались. Инцидент с ZkLend актуализирует несколько важных вопросов для всей отрасли DeFi и смарт-контрактов, особенно на базе Layer 2 решений как StarkNet.
Вопреки предварительным ожиданиям, масштабируемость и инновации не всегда обеспечивают гарантированную безопасность системы. Неоднократно подчеркивалось, что комплексный аудит, многоуровневая защита, а также эффективное реагирование на кризисные ситуации должны быть неотъемлемой частью жизненного цикла любого DeFi-продукта. Кроме того, история ZkLend иллюстрирует сложные отношения между разработчиками, пользователями, инвесторами и регуляторами. Участие крупных фондов, таких как Three Arrows Capital, не всегда способно уберечь стартап от кибератак и связанных с ними репутационных потерь. Расследования и сотрудничество с правоохранительными органами становятся стандартной практикой, однако процесс восстановления украденных средств зачастую остается трудоемким и не гарантирует полного успешного результата.
Уроки ZkLend стоит воспринимать серьезно тем, кто планирует запуск или масштабирование DeFi-платформ. Следует обращать внимание на тщательность аудитов, тестирование безопасности, внедрение страховочных механизмов, а также четкую коммуникацию с сообществом в случае непредвиденных инцидентов. Прозрачность и оперативность действий критичны для поддержания доверия и устойчивости экосистемы. В заключение можно сказать, что закрытие Starknet-базированного ZkLend черным маркером вписалось в новейшую историю криптоэкосистемы. Эта ситуация подчеркивает, что в быстро развивающемся мире блокчейна безопасность остается приоритетом номер один.
Новые технологии, включая zk-rollups и другие решения Layer 2, открывают широкие возможности для оптимизации транзакций и снижения издержек, но при этом требуют максимального внимания к защитным мерам. Истории успеха и провала в DeFi взаимосвязаны, они формируют опыт, который поможет создать более надежные, устойчивые и прозрачные финансовые сервисы будущего.
