- 攻击者利用伪造的批次根（batch root）清空了zkLink Nova的以太坊托管账户，仅留下约0.001 ETH。
- Blockaid估计此次损失涉及约78.6万美元的ETH和ERC-20代币，并表示攻击仍在持续中。
- 其中一笔提款交易转移了22.43 ETH和11种ERC-20代币，其中价值约613,536美元的245.74 pufETH占比最大。
周三，一名攻击者通过公共中继器发送虚假批次根，将zkLink Nova的以太坊托管账户清空至仅剩约0.001 ETH。
安全公司Blockaid表示，截至目前被盗走的ETH和ERC-20代币总值约为78.6万美元。
Blockaid于美东时间10:24下午标记了一起公共中继器攻击事件
Blockaid于10月28日美东时间晚上10:24在X平台发帖报告了此次攻击。攻击者利用公共中继器在以太坊上注入虚假根数据，随后将Nova L1托管账户中的ETH和ERC-20代币提现至其指定的接收地址。
“截至目前，已有约78.6万美元从L1 ETH托管账户和ERC20桥中被转出。攻击仍在进行中。”Blockaid写道。
Nova将来自以太坊及其Layer 2网络的资产汇集起来。当进行存款时，资金仍保留在其源链的合约中，并通过其官方桥接在Nova上获得记账。
批次根（Batch root）是桥接协议用于验证消息的哈希值，在本例中即为 Nova 批准的提款。zkLink 的结算 设计要求在最终确定批次之前进行证明检查和跨链一致性检查。
随后，只有在批处理根哈希（batch root）同步到关联链后，提款才能进行。Blockaid指出，伪造的根哈希是通过公共中继器注入以太坊的。
与 ETH 和代币提款在同一笔交易中记录了一个新的批次根，且位于这些提款操作之前。这可以从攻击的 日志中观察到。
6:21 p.m. 的交易向一个接收方发送了$778,625.84
该交易发生于10月28日美东时间下午6:21，即在Blockaid发出警报前几小时。它从Nova的以太坊托管账户中提取了22.43 ETH，并从其代币桥中提取了11种ERC-20代币，然后将它们全部发送至同一地址。
Blockaid的帖子指出了黑客使用的两个地址，并将ERC-20桥列为第二个目标合约。
最大的一笔转账为245.74 pufETH，按Etherscan价格计算约合613,536美元。同时转出的还有约18,113 USDC和3,361 USDT。
根据Etherscan显示的价格，这些转账总额达778,625.84美元。由于该数字仅涵盖一笔交易，因此很难判断总共损失了多少资金。
随后，Etherscan 显示被黑的 ETH 托管账户中仅剩余约 0.001 ETH。但在美东时间晚上 10:29，托管账户的暂停标志仍未设置，因此尚不清楚是否有其他控制措施阻止了更多提款。
伪造输入早在 11 天前就影响了另一座桥接协议。Cryptopolitan 报道，10 月 17 日，一条伪造的铸造消息被用于通过 Cysic 的跨链桥接协议创建 1000 万枚未经授权的 CYS 代币。
Cysic攻击者出售了720万个代币。在该项目将其列入黑名单之前，其钱包被用于向以太坊发送约72.7万美元。
7月，约754万美元从Verus以太坊桥流出。这是该桥第二次发生资金损失事件。此前在5月，曾有1158万美元被首次盗走。Blockaid将这两起攻击关联至同一合约及导入路径。
5月漏洞的成因在于桥接协议的checkCCEValues函数中缺少约10行Solidity验证代码。同类的验证错误曾导致2022年的Wormhole和Nomad攻击事件。
如果您正在阅读这篇文章，说明您已经领先一步。请继续通过我们的通讯保持关注。
常见问题
zkLink Nova桥接协议被盗金额是多少？
Blockaid将损失估算为约78.6万美元（以ETH和ERC-20代币计）。仅有一笔交易就按Etherscan的价格转移了778,625.84美元。
攻击者是如何清空托管账户的？
攻击者利用公共中继器在以太坊上注入伪造的批次根（batch root），随后从zkLink Nova的第1层托管账户中提取提款。
这与近期其他桥接黑客攻击类似吗？
是的。10月17日，一条欺诈性的铸造消息迫使1000万个未经授权的CYS代币从Cysic跨链桥中流出。
免责声明。 所提供的信息不构成交易建议。Cryptopolitan.com 对基于本页信息进行的任何投资不承担任何责任。我们强烈建议在做出任何投资决策之前进行独立研究或咨询合格的专业人士。
Randa Moses
Randa Moses 是 Cryptopolitan 的编辑兼记者，专注于科技、人工智能、机器人技术、加密货币、诈骗及黑客攻击等领域的报道。自 2017 年以来，她一直活跃于加密货币领域，曾担任 Forward Protocol、AmaZix 和 Cryptosomniac 等公司的职务。Randa 拥有布拉德福德大学电气工程与电子工程学位。
