交易所排行
交易所排行榜
24小时成交排行榜
人气排行榜
交易所比特币余额
交易所资产透明度证明
去中心化交易所
资金费率
资金费率热力图
爆仓数据
清算最大痛点
多空比
大户多空比
币安/欧易/火币大户多空比
Bitfinex杠杆多空比
ETF追踪
索拉纳ETF
瑞波币ETF
香港ETF
比特币持币公司
加密资产反转
以太坊储备
HyperLiquid钱包分析
Hyperliquid鲸鱼监控
大额转账
链上异动
比特币回报率
稳定币市值
期权分析
新闻
文章
财经日历
专题
钱包
合约计算器
账号安全
资讯收藏
自选币种
我的关注
ETH zkLink Nova以太坊托管合约遭攻击，损失约78.6万美元
周三，zkLink Nova上的以太坊（ETH）托管合约几乎被清空，余额降至约0.001 ETH。此次攻击涉及通过公共中继器提交伪造的批次根（Batch Root）。区块链威胁监控公司Blockaid报告称，涉及的以太坊及ERC-20代币损失约为78.6万美元。该漏洞利用事件最早由Blockaid于美国东部时间晚上10:24披露，目前攻击仍在持续，不排除进一步风险。
批次根伪造与漏洞利用机制
Blockaid指出，攻击者利用Nova的系统，通过公共中继器在以太坊网络上注入欺诈性的批次根。这一操作篡改了桥接器的提款审批流程，使攻击者能够完成从Nova Layer 1托管合约中未经授权提取ETH和ERC-20代币的操作。随后，资金被转移至攻击者控制的地址。
Blockaid强调，约有78.6万美元的资金分别从ETH托管合约和ERC-20桥接合约中被盗取，并指出在报告发布时，攻击仍在进行中。
Nova作为一个资产聚合桥接协议，汇聚来自以太坊及相关Layer 2网络的资产。用户的存款仍安全保留在其源链上，而信用额度则通过其规范桥接机制在Nova上发行。
批次根是桥接协议用于验证提款请求和交易的一种加密哈希值。在zkLink的架构中，结算程序要求在执行任何提款之前，必须经过批次根验证和跨链证明验证。
据Blockaid所述，攻击者通过使用公共中继器注入虚假批次根，绕过了预期的安全措施。恶意批次根使得非法提款请求得以处理，导致资产迅速转移至攻击者手中。
术语解释：公共中继器（Public Relayer）——代表用户或协议向公共区块链转发交易或证明的节点或基础设施。虽然中继器简化了交易管理，但如果缺乏适当的安全控制，它们可能成为未经授权的批次根提交等漏洞利用的脆弱点。
关键交易与被盗资金明细
与此次攻击相关的关键交易发生于10月28日下午6:21（美东时间）。在此期间，攻击者从Nova的托管合约和桥接合约中提取了22.43 ETH和11种ERC-20代币，并将全部金额转移至单一地址。
被盗资产包括价值约613,536美元的245.74 pufETH，以及18,113 USDC和3,361 USDT。Etherscan数据显示，这笔单一交易的总金额为778,625.84美元。由于该数字未包含所有相关交易，实际总损失可能更高。
Blockaid确定了攻击者使用的两个钱包地址，并将ERC-20桥接合约列为另一个目标。Etherscan确认，攻击发生后，ETH托管合约几乎被清空，仅显示0.001 ETH的余额。截至美东时间晚上10:29，托管合约的暂停功能尚未触发，这使得外界对其是否已采取其他保护措施存在不确定性。
更广泛的背景：近期桥接攻击事件
此次事件紧随近几个月来类似跨链桥接漏洞利用之后。就在11天前，攻击者利用伪造的铸造消息在Cysic的跨链桥上创建了1,000万个未经授权的CYS代币，其中720万个代币随后被出售。攻击者的钱包在向以太坊转移约72.7万美元后，该地址被项目方列入黑名单。
今年7月，Verus以太坊桥接器在第二次漏洞利用中损失了754万美元。另一起发生在5月的入侵事件夺走了1,158万美元，据报道这两起事件均与有缺陷的合同和路由有关。调查揭示，5月事件的根源在于checkCCEValues函数中缺少验证代码，这种模式在其他著名的桥接攻击中也出现过，例如Wormhole和Nomad攻击。
![ICE与trade[XYZ]合作，为美国券商推出24/7全天候Hyperliquid永续合约市场](/d/file/20261029/9e798300d39411f197b9b80d425f811e.jpg)
