Disclaimer: Content does not constitute investment advice. Trading involves risks—please invest with caution!

zkLink Nova的ETH托管资金遭78.6万美元黑客攻击，Blockaid称攻击仍在持续

2026-10-29 20:45:43

Bookmark

zkLink Nova以太坊托管合约遭攻击，损失约78.6万美元

周三，zkLink Nova上的以太坊（ETH）托管合约几乎被清空，余额降至约0.001 ETH。此次攻击涉及通过公共中继器提交伪造的批次根（Batch Root）。区块链威胁监控公司Blockaid报告称，涉及的以太坊及ERC-20代币损失约为78.6万美元。该漏洞利用事件最早由Blockaid于美国东部时间晚上10:24披露，目前攻击仍在持续，不排除进一步风险。

批次根伪造与漏洞利用机制

Blockaid指出，攻击者利用Nova的系统，通过公共中继器在以太坊网络上注入欺诈性的批次根。这一操作篡改了桥接器的提款审批流程，使攻击者能够完成从Nova Layer 1托管合约中未经授权提取ETH和ERC-20代币的操作。随后，资金被转移至攻击者控制的地址。

Blockaid强调，约有78.6万美元的资金分别从ETH托管合约和ERC-20桥接合约中被盗取，并指出在报告发布时，攻击仍在进行中。

Nova作为一个资产聚合桥接协议，汇聚来自以太坊及相关Layer 2网络的资产。用户的存款仍安全保留在其源链上，而信用额度则通过其规范桥接机制在Nova上发行。

批次根是桥接协议用于验证提款请求和交易的一种加密哈希值。在zkLink的架构中，结算程序要求在执行任何提款之前，必须经过批次根验证和跨链证明验证。

据Blockaid所述，攻击者通过使用公共中继器注入虚假批次根，绕过了预期的安全措施。恶意批次根使得非法提款请求得以处理，导致资产迅速转移至攻击者手中。

术语解释：公共中继器（Public Relayer）——代表用户或协议向公共区块链转发交易或证明的节点或基础设施。虽然中继器简化了交易管理，但如果缺乏适当的安全控制，它们可能成为未经授权的批次根提交等漏洞利用的脆弱点。

关键交易与被盗资金明细

与此次攻击相关的关键交易发生于10月28日下午6:21（美东时间）。在此期间，攻击者从Nova的托管合约和桥接合约中提取了22.43 ETH和11种ERC-20代币，并将全部金额转移至单一地址。

被盗资产包括价值约613,536美元的245.74 pufETH，以及18,113 USDC和3,361 USDT。Etherscan数据显示，这笔单一交易的总金额为778,625.84美元。由于该数字未包含所有相关交易，实际总损失可能更高。

资产类型数量近似美元价值 pufETH 245.74 $613,536 USDC 18,113 $18,113 USDT 3,361 $3,361 ETH 22.43 包含在上述总额中总计 $778,625.84

Blockaid确定了攻击者使用的两个钱包地址，并将ERC-20桥接合约列为另一个目标。Etherscan确认，攻击发生后，ETH托管合约几乎被清空，仅显示0.001 ETH的余额。截至美东时间晚上10:29，托管合约的暂停功能尚未触发，这使得外界对其是否已采取其他保护措施存在不确定性。

更广泛的背景：近期桥接攻击事件

此次事件紧随近几个月来类似跨链桥接漏洞利用之后。就在11天前，攻击者利用伪造的铸造消息在Cysic的跨链桥上创建了1,000万个未经授权的CYS代币，其中720万个代币随后被出售。攻击者的钱包在向以太坊转移约72.7万美元后，该地址被项目方列入黑名单。

今年7月，Verus以太坊桥接器在第二次漏洞利用中损失了754万美元。另一起发生在5月的入侵事件夺走了1,158万美元，据报道这两起事件均与有缺陷的合同和路由有关。调查揭示，5月事件的根源在于checkCCEValues函数中缺少验证代码，这种模式在其他著名的桥接攻击中也出现过，例如Wormhole和Nomad攻击。

Disclaimer:

All content published on this website, including hyperlinks, related applications, forums, blogs, and other media accounts, originates from third-party platforms and their users. CoinMarketInsight makes no representations or warranties of any kind regarding the website or its content. All blockchain-related data and materials are provided for informational and research purposes only and do not constitute financial, legal, or investment advice. Users and third parties are solely responsible for the content they publish. CoinMarketInsight shall not be liable for any losses arising from the use of this website. You should exercise caution and conduct your own independent research, review, analysis, and verification before making any decisions.

Read Full Article

0.00% 0.00%

Bullish

Bearish

Hot Coins