Un attaquant a drainé environ 786 000 $ en cryptomonnaies du pont Ethereum de zkLink Nova en exploitant son processus de vérification inter-chaînes pour autoriser des retraits frauduleux.

La société de sécurité blockchain Blockaid a identifié l'exploit tard le 28 octobre 2026, révélant l'incident dans des publications sur X (post, post) et avertissant que l'attaque était toujours en cours au moment de sa divulgation. L'impact financier complet reste à l'étude.

Une racine de lot falsifiée a permis des retraits non autorisés

L'attaquant a ciblé l'infrastructure de règlement de zkLink Nova, qui coordonne les transferts d'actifs entre Ethereum et les réseaux Layer 2 connectés. L'attaque consistait à soumettre une racine de lot falsifiée via un relais accessible au public, permettant des retraits non autorisés d'Ether (ETH) et de jetons ERC-20 depuis les contrats d'escrow Layer 1 d'Ethereum de zkLink Nova vers des adresses contrôlées par l'attaquant.

Selon l'architecture de règlement inter-chaînes de zkLink, les lots de transactions sont vérifiés sur Linea avant que leurs racines confirmées ne soient relayées vers les réseaux secondaires, y compris Ethereum, où elles autorisent les retraits. Chaque racine confirmée constitue un engagement cryptographique sur un lot de transactions, et les contrats côté Ethereum s'appuient sur cet engagement relayé pour autoriser les retraits, ce qui fait de son intégrité un élément central du modèle de sécurité du pont.

En injectant la racine de lot frauduleuse via le relais public, l'attaquant a contourné le processus de vérification attendu. Cela a permis aux contrats côté Ethereum de reconnaître comme valides des demandes de retrait non autorisées et de libérer les actifs détenus en escrow.

L'exploit a affecté la vérification des messages et l'autorisation des retraits du pont ; toutefois, la vulnérabilité exacte ayant permis à la racine falsifiée de passer la validation n'a pas été établie. Les enquêteurs n'ont pas révélé de preuve de clés d'administrateur compromises ni identifié l'attaquant.

Les réserves ETH et ERC-20 du pont subissent des pertes

Les transactions concernées ont retiré des actifs des contrats d'escrow Ethereum et du pont ERC-20 de zkLink Nova. Une transaction Ethereum identifiée a transféré environ 22,43 ETH ainsi que 11 actifs ERC-20 vers une adresse contrôlée par l'attaquant. Le retrait le plus important portait sur environ 245,74 pufETH, d'une valeur d'environ 613 500 $ au moment de l'examen de la transaction.

D'autres transferts comprenaient environ 18 113 USDC et 3 361 USDT, deux stablecoins adossés au dollar, ainsi que des avoirs plus modestes en autres jetons. La valeur combinée de la transaction a été estimée à 779 000 $, représentant la majeure partie de l'estimation initiale de pertes de Blockaid plutôt qu'un incident distinct.

L'attaque ayant ciblé les réserves adossant les actifs transférés via zkLink Nova, elle crée des risques potentiels de retrait et de liquidité pour les utilisateurs qui dépendent de ces contrats. Les ponts concentrent ces réserves dans des contrats d'escrow Layer 1 afin que les mêmes actifs puissent circuler sur plusieurs réseaux — une structure qui a fait des fonds en escrow des ponts une cible récurrente lorsque la vérification des messages inter-chaînes échoue.

Des défaillances similaires de vérification inter-chaînes ont touché d'autres protocoles en 2026. En juillet, le pont Ethereum de Verus a perdu 7,54 millions de dollars après que des instructions d'importation frauduleuses ont déclenché des retraits non autorisés. Plus récemment, l'exploit du pont d'Initia le 23 octobre a entraîné environ 2,7 millions de dollars de pertes après qu'un attaquant a exploité une vulnérabilité MoveVM pour créer des actifs non adossés et les échanger contre de véritables réserves inter-chaînes.

Le rétablissement et la réponse de sécurité restent non confirmés

zkLink n'a pas publiquement confirmé l'ampleur complète de l'exploit, la suspension éventuelle des contrats de pont concernés, ni la récupération éventuelle des actifs volés. Aucun plan de remédiation vérifié, aucun arrangement d'indemnisation ni aucun calendrier de rétablissement des retraits sécurisés n'a été annoncé.

Les utilisateurs ayant des actifs sur zkLink Nova font face à l'incertitude quant à la disponibilité des réserves adossant les retraits vers Ethereum. De nouvelles transactions sur le pont comportent un risque supplémentaire tant que l'infrastructure concernée n'est pas sécurisée et que son statut opérationnel n'est pas confirmé.

L'alerte initiale de Blockaid classait l'attaque comme en cours, et les dernières informations publiquement disponibles n'ont pas établi que la vulnérabilité a été contenue ni que les retraits non autorisés ont cessé. Les évolutions qui clarifieraient l'impact final sont la confirmation officielle du statut opérationnel des contrats concernés, la mise à jour des chiffres de pertes à mesure que le traçage on-chain se poursuit, et toute divulgation sur la manière dont la racine falsifiée a passé la validation.