- Un attaccante ha utilizzato una radice del batch contraffatta per svuotare l'escrow Ethereum di zkLink Nova, lasciando circa 0,001 ETH sul conto.
- Blockaid ha stimato la perdita in circa 786.000 dollari in ETH e token ERC-20 e ha dichiarato che l'attacco era ancora in corso.
- Una transazione di prelievo ha movimentato 22,43 ETH e 11 token ERC-20, guidata da 245,74 pufETH del valore di circa 613.536 dollari.
L'escrow Ethereum di zkLink Nova è stato svuotato fino a circa 0,001 ETH mercoledì da un attaccante che ha utilizzato un relayer pubblico per inviare una radice del batch falsa.
Blockaid, azienda di sicurezza, afferma che l'importo di ETH e token ERC-20 sottratti finora ammonta a circa 786.000 dollari.
Blockaid ha segnalato un attacco tramite relayer pubblico alle 10:24 ET
Blockaid ha segnalato l'attacco in un post su X alle 22:24 ET del 28 ottobre. L'attaccante ha utilizzato un relayer pubblico per iniettare una radice falsa su Ethereum e successivamente finalizzare i prelievi di ETH e token ERC-20 dall'escrow L1 di Nova verso destinatari a sua scelta.
“Fino ad ora sono stati drenati circa 786k dollari dall’escrow L1 ETH e dal bridge ERC20. L’attacco è ancora in corso,” ha scritto Blockaid.
Nova raccoglie gli asset da Ethereum e dalle sue reti Layer 2 e li aggrega. Quando vengono effettuati depositi, questi rimangono nei contratti sulle catene di origine e vengono accreditati su Nova tramite il suo bridge canonico.
Un batch root è il valore hash che un bridge utilizza per verificare i messaggi; in questo caso, i prelievi approvati da Nova. La progettazione di zkLink richiede verifiche delle prove e controlli di coerenza cross-chain prima di finalizzare un batch.
I prelievi possono quindi procedere solo dopo che la radice del batch viene inviata alle catene collegate. Blockaid afferma che la radice falsificata è stata iniettata su Ethereum attraverso un relayer pubblico invece che tramite un canale ufficiale.
È stato registrato un nuovo batch root nella stessa transazione dei prelievi di ETH e token, subito prima di questi ultimi. Questo è visibile nei log della transazione relativi all'attacco.
Una transazione 6:21 p.m. ha inviato $778,625.84 a un destinatario
La transazione è avvenuta il 28 ottobre alle 18:21 ET, poche ore prima che Blockaid inviasse l’allarme. Ha prelevato 22,43 ETH dall’escrow Ethereum di Nova e 11 token ERC-20 dal suo bridge di token, inviandoli tutti allo stesso indirizzo.
Il thread di Blockaid ha indicato due indirizzi utilizzati dall’hacker e ha elencato il bridge ERC-20 come secondo contratto target.
Il lotto più grande era di 245,74 pufETH, pari a circa 613.536 dollari ai prezzi di Etherscan. Con esso sono stati inviati anche circa 18.113 USDC e 3.361 USDT.
Ai prezzi mostrati da Etherscan, i trasferimenti ammontano a 778.625,84 dollari. Questa cifra copre solo una transazione, quindi è difficile stabilire quanto denaro sia stato perso complessivamente.
In seguito, Etherscan ha mostrato che c'erano solo circa 0.001 ETH rimasti nell'escrow ETH violato escrow. Ma alle 22:29 ET, il flag di pausa dell'escrow non era ancora impostato, quindi non è chiaro se altri controlli abbiano bloccato ulteriori prelievi.
Input falsi hanno colpito un altro bridge 11 giorni prima. Cryptopolitan ha riportato che il 17 ottobre un messaggio di minting falso è stato utilizzato per creare 10 milioni di token CYS non autorizzati attraverso il bridge cross-chain di Cysic.
L'attaccante di Cysic ha venduto 7,2 milioni di token. Il suo wallet è stato utilizzato per inviare circa 727.000 $ su Ethereum prima che il progetto lo blacklistasse.
Circa 7,54 milioni di dollari sono usciti dal ponte Ethereum di Verus a luglio. È stata la seconda volta che il ponte ha subito perdite. A maggio, 11,58 milioni di dollari sono stati sottratti per la prima volta. Blockaid ha collegato i due attacchi allo stesso contratto e alla stessa route di importazione.
La causa dell'exploit di maggio è stata l'assenza di circa 10 righe di validazione Solidity nella funzione checkCCEValues del bridge. Lo stesso tipo di errore di validazione ha portato agli attacchi Wormhole e Nomad del 2022.
I cervelli più intelligenti del crypto leggono già la nostra newsletter. Vuoi unirti a loro? Unisciti a loro.
Domande frequenti
Quanto è stato sottratto nell'exploit del bridge zkLink Nova?
Blockaid stima la perdita in circa 786.000 $ in ETH e token ERC-20. Una sola transazione ha movimentato 778.625,84 $ ai prezzi di Etherscan.
Come ha fatto l'attaccante a svuotare l'escrow?
L'attaccante ha utilizzato un relayer pubblico per iniettare una radice di batch contraffatta su Ethereum, per poi finalizzare i prelievi dall'escrow Layer 1 di zkLink Nova.
È simile ad altri recenti hack ai bridge?
Sì. Il 17 ottobre, un messaggio di mint fraudolento ha forzato l'emissione non autorizzata di 10 milioni di token CYS dal bridge cross-chain di Cysic.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
