Un attaccante ha drenato circa 786.000 dollari in criptovalute dal bridge Ethereum di zkLink Nova sfruttando il suo processo di verifica cross-chain per autorizzare prelievi fraudolenti.

La società di sicurezza blockchain Blockaid ha identificato l'exploit la sera del 28 ottobre 2026, divulgando l'incidente tramite post su X (post, post) e avvertendo che l'attacco era ancora in corso al momento della divulgazione. L'impatto finanziario completo resta sotto indagine.

Un batch root contraffatto ha consentito prelievi non autorizzati

L'attaccante ha preso di mira l'infrastruttura di regolamento di zkLink Nova, che coordina i trasferimenti di asset tra Ethereum e le reti Layer 2 collegate. L'attacco ha comportato l'invio di un batch root contraffatto tramite un relayer pubblicamente accessibile, consentendo prelievi non autorizzati di Ether (ETH) e token ERC-20 dai contratti di escrow Ethereum Layer 1 di zkLink Nova verso indirizzi controllati dall'attaccante.

Secondo l'architettura di regolamento cross-chain di zkLink, i batch di transazioni vengono verificati su Linea prima che le loro radici confermate vengano inoltrate alle reti secondarie, incluso Ethereum, dove autorizzano i prelievi. Ogni radice confermata funge da impegno crittografico per un batch di transazioni, e i contratti sul lato Ethereum si affidano a tale impegno inoltrato per autorizzare i prelievi, rendendone l'integrità centrale per il modello di sicurezza del bridge.

Iniettando il batch root fraudolento tramite il relayer pubblico, l'attaccante ha aggirato il processo di verifica previsto. Ciò ha permesso ai contratti sul lato Ethereum di riconoscere come valide richieste di prelievo non autorizzate e di rilasciare gli asset custoditi in escrow.

L'exploit ha riguardato la verifica dei messaggi e l'autorizzazione dei prelievi del bridge; tuttavia, la vulnerabilità esatta che ha permesso alla radice contraffatta di superare la validazione non è stata stabilita. Gli investigatori non hanno reso pubblico alcun indizio di chiavi di amministratore compromesse né identificato l'attaccante.

Le riserve ETH e ERC-20 del bridge subiscono perdite

Le transazioni interessate hanno rimosso asset dall'escrow Ethereum di zkLink Nova e dai contratti bridge ERC-20. Una transazione Ethereum identificata ha trasferito circa 22,43 ETH insieme a 11 asset ERC-20 verso un indirizzo controllato dall'attaccante. Il prelievo più consistente ha coinvolto circa 245,74 pufETH, valutati circa 613.500 dollari al momento dell'esame della transazione.

Altri trasferimenti hanno incluso circa 18.113 USDC e 3.361 USDT, entrambi stablecoin ancorate al dollaro, oltre a quote minori di altri token. Il valore complessivo della transazione è stato stimato in 779.000 dollari, rappresentando la maggior parte della stima iniziale delle perdite di Blockaid piuttosto che un incidente separato.

Poiché l'attacco ha preso di mira le riserve a supporto degli asset trasferiti tramite zkLink Nova, crea potenziali rischi di prelievo e di liquidità per gli utenti che si affidano a tali contratti. I bridge concentrano tali riserve in contratti di escrow di Layer 1 affinché gli stessi asset possano circolare su più reti — una struttura che ha reso i fondi in escrow dei bridge un bersaglio ricorrente quando la verifica dei messaggi cross-chain si rivela fallimentare.

Simili fallimenti nella verifica cross-chain hanno colpito altri protocolli nel 2026. A luglio, il Verus Ethereum Bridge ha perso 7,54 milioni di dollari dopo che istruzioni di import fraudolente hanno innescato prelievi non autorizzati. Più di recente, l'exploit del bridge di Initia il 23 ottobre ha causato perdite di circa 2,7 milioni di dollari dopo che un attaccante ha sfruttato una vulnerabilità MoveVM per creare asset privi di copertura e riscattarli contro le reali riserve cross-chain.

Recupero e risposta di sicurezza restano non confermati

zkLink non ha confermato pubblicamente la portata completa dell'exploit, se i contratti bridge interessati siano stati sospesi o se gli asset rubati siano stati recuperati. Non è stato annunciato alcun piano di rimedio verificato, accordo di compensazione o calendario per il ripristino di prelievi sicuri.

Gli utenti con asset su zkLink Nova affrontano incertezza sulla disponibilità delle riserve a supporto dei prelievi verso Ethereum. Ulteriori transazioni sul bridge comportano rischi aggiuntivi finché l'infrastruttura interessata non sarà messa in sicurezza e il suo stato operativo confermato.

L'avviso iniziale di Blockaid classificava l'attacco come in corso, e le informazioni pubbliche più recenti non hanno stabilito che la vulnerabilità sia stata contenuta né che i prelievi non autorizzati siano cessati. Gli sviluppi che chiarirebbero l'impatto finale sono la conferma ufficiale dello stato operativo dei contratti interessati, le cifre aggiornate delle perdite man mano che l'analisi on-chain prosegue, e qualsiasi divulgazione su come la radice contraffatta abbia superato la validazione.