Ein Angreifer entwendete Kryptowährungen im Wert von rund 786.000 $ von der Ethereum-Bridge von zkLink Nova, indem er deren Cross-Chain-Verifizierungsprozess ausnutzte, um betrügerische Abhebungen zu autorisieren.

Das Blockchain-Sicherheitsunternehmen Blockaid identifizierte den Exploit spät am 28. Oktober 2026 und machte den Vorfall in Beiträgen auf X (Beitrag, Beitrag) öffentlich, mit der Warnung, dass der Angriff zum Zeitpunkt der Veröffentlichung noch andauerte. Die vollständigen finanziellen Auswirkungen werden noch untersucht.

Gefälschter Batch-Root ermöglichte unbefugte Abhebungen

Der Angreifer zielte auf die Abwicklungsinfrastruktur von zkLink Nova ab, die die Vermögenstransfers zwischen Ethereum und angeschlossenen Layer-2-Netzwerken koordiniert. Bei dem Angriff wurde über ein öffentlich zugängliches Relayer ein gefälschter Batch-Root eingereicht, wodurch unbefugte Abhebungen von Ether (ETH) und ERC-20-Token aus den Ethereum-Layer-1-Escrow-Verträgen von zkLink Nova an vom Angreifer kontrollierte Adressen ermöglicht wurden.

Gemäß der Cross-Chain-Abwicklungsarchitektur von zkLink werden Transaktionsbatches auf Linea verifiziert, bevor ihre bestätigten Roots an Sekundärnetzwerke – einschließlich Ethereum – weitergeleitet werden, wo sie Abhebungen autorisieren. Jeder bestätigte Root dient als kryptografische Zusage für einen Batch von Transaktionen, und die Ethereum-seitigen Verträge stützen sich bei der Autorisierung von Abhebungen auf diese weitergeleitete Zusage, was ihre Integrität zum zentralen Element des Sicherheitsmodells der Bridge macht.

Durch das Einschleusen des gefälschten Batch-Root über den öffentlichen Relayer umging der Angreifer den vorgesehenen Verifizierungsprozess. Dadurch erkannten die Ethereum-seitigen Verträge unbefugte Abhebeanforderungen als gültig an und gaben im Escrow gehaltene Vermögenswerte frei.

Der Exploit betraf die Nachrichtenverifizierung und die Abhebeautorisierung der Bridge; die genaue Schwachstelle, die es dem gefälschten Root ermöglichte, die Validierung zu bestehen, ist jedoch noch nicht bekannt. Die Ermittler haben keine Hinweise auf kompromittierte Administratorschlüssel offengelegt und den Angreifer nicht identifiziert.

ETH- und ERC-20-Bridge-Reserven erleiden Verluste

Die betroffenen Transaktionen entnahmen Vermögenswerte aus den Ethereum-Escrow- und ERC-20-Bridge-Verträgen von zkLink Nova. Eine identifizierte Ethereum-Transaktion übertrug aproximadamente 22,43 ETH zusammen mit 11 ERC-20-Assets an eine vom Angreifer kontrollierte Adresse. Die größte einzelne Abhebung betraf rund 245,74 pufETH, wert etwa 613.500 $ zum Zeitpunkt der Untersuchung der Transaktion.

Weitere Transfers umfassten etwa 18.113 USDC und 3.361 USDT, beide an den Dollar gebundene Stablecoins, sowie kleinere Bestände anderer Token. Der Gesamtwert der Transaktion wurde auf 779.000 $ geschätzt und deckt damit den Großteil der anfänglichen Verlustschätzung von Blockaid ab; es handelt sich nicht um einen separaten Vorfall.

Da der Angriff die Reserven abzielte, die die über zkLink Nova transferierten Assets absichern, entstehen für Nutzer, die auf diese Verträge angewiesen sind, potenzielle Auszahlungs- und Liquiditätsrisiken. Bridges konzentrieren diese Reserven in Layer-1-Escrow-Verträgen, damit dieselben Assets über mehrere Netzwerke zirkulieren können – eine Struktur, die Escrow-Gelder von Bridges zu einem wiederkehrenden Ziel gemacht hat, wenn die Cross-Chain-Nachrichtenverifizierung versagt.

Ähnliche Ausfälle bei der Cross-Chain-Verifizierung haben 2026 auch andere Protokolle getroffen. Im Juli verlor die Verus-Ethereum-Bridge 7,54 Millionen $, nachdem betrügerische Importanweisungen unbefugte Abhebungen ausgelöst hatten. Zuletzt führte der Bridge-Exploit bei Initia am 23. Oktober zu Verlusten von etwa 2,7 Millionen $, nachdem ein Angreifer eine MoveVM-Schwachstelle ausnutzte, um nicht gedeckte Assets zu schaffen und diese gegen echte Cross-Chain-Reserven einzulösen.

Wiedererlangung und Sicherheitsreaktion weiterhin unbestätigt

zkLink hat weder das vollständige Ausmaß des Exploits öffentlich bestätigt, noch ob die betroffenen Bridge-Verträge ausgesetzt wurden oder ob gestohlene Vermögenswerte zurückgeholt werden konnten. Es wurde kein verifizierter Sanierungsplan, keine Entschädigungsregelung und kein Zeitplan für die Wiederherstellung sicherer Abhebungen angekündigt.

Nutzer mit Assets auf zkLink Nova sehen sich mit Unsicherheiten hinsichtlich der Verfügbarkeit der Reserven konfrontiert, die Abhebungen nach Ethereum absichern. Weitere Bridge-Transaktionen sind mit zusätzlichen Risiken verbunden, bis die betroffene Infrastruktur gesichert und ihr Betriebsstatus bestätigt ist.

Blockaids erste Warnung stufte den Angriff als andauernd ein, und die neuesten öffentlich verfügbaren Informationen haben nicht bestätigt, dass die Schwachstelle behoben wurde oder dass unbefugte Abhebungen gestoppt wurden. Klarheit über die endgültigen Auswirkungen würden folgende Entwicklungen bringen: die offizielle Bestätigung des Betriebsstatus der betroffenen Verträge, aktualisierte Verlustzahlen, während die On-Chain-Analyse fortgesetzt wird, sowie jede Offenlegung dazu, wie der gefälschte Root die Validierung bestehen konnte.