Un atacante vació el escrow de Ethereum de zkLink Nova hasta dejarlo en aproximadamente 0.001 ETH el miércoles 28 de octubre, utilizando un relayer público para enviar una raíz de lote falsificada a la red. Blockaid, la firma de seguridad blockchain que detectó el exploit, estima que se han sustraído unos 786,000 dólares en ETH y tokens ERC-20 hasta ahora, y advirtió que el ataque seguía en curso al momento de su reporte.

Blockaid detectó el ataque de relayer público a las 10:24 p.m. ET

Blockaid reveló el incidente en una publicación en X a las 10:24 p.m. ET del 28 de octubre. Según la firma, el atacante usó un relayer público para inyectar una raíz falsa en Ethereum y luego finalizó retiros de ETH y tokens ERC-20 desde el escrow de Capa 1 de Nova hacia direcciones receptoras de su elección.

"~$786k drained from L1 ETH escrow and ERC20 bridge so far. Attack still ongoing", escribió Blockaid.

zkLink Nova recibe activos de Ethereum y sus redes de Capa 2 conectadas y los agrupa. Los depósitos permanecen en contratos en sus cadenas de origen y se acreditan en Nova a través de su puente canónico. Una raíz de lote es el valor hash que un puente usa para verificar mensajes; en este caso, los retiros que Nova aprobó. Según el diseño de liquidación de zkLink, los lotes deben superar verificaciones de prueba y comprobaciones de consistencia cross-chain antes de poder finalizarse, y los retiros solo pueden proceder después de que la raíz de lote se confirme en las cadenas conectadas. Esa arquitectura coloca los activos agrupados de múltiples cadenas tras un único paso de verificación, lo que significa que una raíz validada incorrectamente puede autorizar retiros contra el saldo completo del escrow en lugar de una cuenta individual.

Blockaid indicó que la raíz falsificada fue inyectada en Ethereum a través de un relayer público. Los registros de la transacción del ataque muestran una nueva raíz de lote registrada en la misma transacción que los retiros de ETH y tokens, inmediatamente antes de ellos.

Una sola transacción de las 6:21 p.m. movió 778,625.84 dólares a un receptor

La transacción más grande se realizó el 28 de octubre a las 6:21 p.m. ET, unas horas antes de la alerta de Blockaid. Sustrajo 22.43 ETH del escrow de Ethereum de Nova junto con 11 tokens ERC-20 del puente de tokens y envió todo a una sola dirección. El hilo de Blockaid identificó dos direcciones usadas por el hacker y señaló el puente ERC-20 como un segundo contrato objetivo.

El lote más grande fue de 245.74 pufETH, con un valor de alrededor de 613,536 dólares según los precios de Etherscan. Aproximadamente 18,113 USDC y 3,361 USDT salieron junto con él. A los precios mostrados por Etherscan, las transferencias suman 778,625.84 dólares, aunque, como la cifra cubre solo una transacción, las pérdidas totales son difíciles de establecer.

Etherscan mostró posteriormente que solo quedaban alrededor de 0.001 ETH en el escrow de ETH hackeado. Sin embargo, a las 10:29 p.m. ET, el indicador de pausa del escrow aún no se había activado, por lo que no está claro si otros controles habían detenido retiros adicionales. Los puntos abiertos al momento de escribir esto eran si el indicador de pausa se activaría y cuál sería el total final de pérdidas una vez contadas todas las transacciones afectadas.

Entradas falsificadas golpearon otro puente 11 días antes

El incidente de zkLink fue el segundo en 11 días en involucrar entradas de puente falsificadas. El 17 de octubre, según reportó Cryptopolitan, se usó un mensaje de mint falso para crear 10 millones de tokens CYS no autorizados a través del puente cross-chain de Cysic. El atacante de Cysic vendió 7.2 millones de los tokens, y su billetera envió unos 727,000 dólares a Ethereum antes de que el proyecto la incluyera en su lista negra.

Por separado, alrededor de 7.54 millones de dólares salieron del puente de Ethereum de Verus en julio, la segunda vez que el puente perdía fondos. En mayo, se sustrajeron 11.58 millones de dólares en el primer incidente. Blockaid vinculó los dos ataques de Verus al mismo contrato y ruta de importación. El exploit de mayo se debió a aproximadamente 10 líneas de validación de Solidity faltantes en la función checkCCEValues del puente, el mismo tipo de error de validación detrás de los ataques a Wormhole y Nomad en 2022 —brechas que drenaron cientos de millones de dólares combinados ese año. El reciente grupo de incidentes basado en mensajes de mint falsos, raíces de lote falsificadas y verificaciones de validación faltantes ilustra cuánto valor cross-chain agrupado puede depender del código de verificación de un puente.