Un atacante drenó aproximadamente $786,000 en criptomonedas del puente de Ethereum de zkLink Nova al explotar su proceso de verificación cross-chain para autorizar retiros fraudulentos.

La firma de seguridad blockchain Blockaid identificó el exploit la noche del 28 de octubre de 2026, revelando el incidente en publicaciones en X (publicación, publicación) y advirtiendo que el ataque seguía activo al momento de su divulgación. El impacto financiero total sigue bajo investigación.

La raíz de lote falsificada permitió retiros no autorizados

El atacante se dirigió a la infraestructura de liquidación de zkLink Nova, que coordina las transferencias de activos entre Ethereum y las redes Layer 2 conectadas. El ataque consistió en enviar una raíz de lote falsificada a través de un relayer de acceso público, lo que permitió retiros no autorizados de Ether (ETH) y tokens ERC-20 desde los contratos de escrow de Layer 1 de Ethereum de zkLink Nova hacia direcciones controladas por el atacante.

Bajo la arquitectura de liquidación cross-chain de zkLink, los lotes de transacciones se verifican en Linea antes de que sus raíces confirmadas se transmitan a redes secundarias, incluida Ethereum, donde autorizan los retiros. Cada raíz confirmada funciona como un compromiso criptográfico de un lote de transacciones, y los contratos del lado de Ethereum dependen de ese compromiso transmitido al autorizar retiros, lo que hace que su integridad sea central para el modelo de seguridad del puente.

Al inyectar la raíz de lote fraudulenta a través del relayer público, el atacante eludió el proceso de verificación esperado. Esto permitió que los contratos del lado de Ethereum reconocieran como válidas las solicitudes de retiro no autorizadas y liberaran los activos en escrow.

El exploit afectó la verificación de mensajes del puente y la autorización de retiros; sin embargo, no se ha determinado la vulnerabilidad exacta que permitió que la raíz falsificada superara la validación. Los investigadores no han revelado evidencia de claves de administrador comprometidas ni han identificado al atacante.

Las reservas del puente en ETH y ERC-20 sufren pérdidas

Las transacciones afectadas retiraron activos del escrow de Ethereum y de los contratos del puente ERC-20 de zkLink Nova. Una transacción identificada en Ethereum transfirió aproximadamente 22.43 ETH junto con 11 activos ERC-20 a una dirección controlada por el atacante. El retiro más grande involucró unos 245.74 pufETH, con un valor aproximado de $613,500 cuando se examinó la transacción.

Transferencias adicionales incluyeron aproximadamente 18,113 USDC y 3,361 USDT, ambos stablecoins indexados al dólar, junto con tenencias menores de otros tokens. El valor combinado de la transacción se estimó en $779,000, lo que representa la mayor parte de la estimación inicial de pérdidas de Blockaid y no un incidente separado.

Dado que el ataque se dirigió a las reservas que respaldan los activos transferidos a través de zkLink Nova, genera posibles riesgos de retiro y liquidez para los usuarios que dependen de esos contratos. Los puentes concentran esas reservas en contratos de escrow de Layer 1 para que los mismos activos puedan circular entre múltiples redes, una estructura que ha convertido los fondos en escrow de los puentes en un objetivo recurrente cuando falla la verificación de mensajes cross-chain.

Fallos similares de verificación cross-chain han afectado a otros protocolos en 2026. En julio, el Verus Ethereum Bridge perdió $7.54 millones después de que instrucciones de importación fraudulentas activaran retiros no autorizados. Más recientemente, el exploit del puente de Initia el 23 de octubre resultó en pérdidas de aproximadamente $2.7 millones después de que un atacante explotó una vulnerabilidad de MoveVM para crear activos sin respaldo y canjearlos contra reservas cross-chain reales.

La recuperación y la respuesta de seguridad siguen sin confirmarse

zkLink no ha confirmado públicamente el alcance completo del exploit, si los contratos del puente afectados han sido suspendidos ni si algún activo robado ha sido recuperado. No se ha anunciado ningún plan de remediación verificado, acuerdo de compensación ni calendario para restablecer retiros seguros.

Los usuarios con activos en zkLink Nova enfrentan incertidumbre sobre la disponibilidad de las reservas que respaldan los retiros hacia Ethereum. Las transacciones adicionales del puente conllevan riesgo extra hasta que la infraestructura afectada sea protegida y su estado operativo sea confirmado.

La advertencia inicial de Blockaid clasificó el ataque como activo, y la información pública más reciente no ha establecido que la vulnerabilidad haya sido contenida ni que los retiros no autorizados hayan cesado. Los acontecimientos que aclararían el impacto final son la confirmación oficial del estado operativo de los contratos afectados, cifras de pérdidas actualizadas a medida que continúa el rastreo on-chain, y cualquier revelación sobre cómo la raíz falsificada superó la validación.