Een aanvaller plunderde ongeveer $786.000 aan cryptocurrency uit de Ethereum-brug van zkLink Nova door misbruik te maken van het cross-chain verificatieproces om frauduleuze opnames te autoriseren.

Het blockchainbeveiligingsbedrijf Blockaid identificeerde de exploit in de late uren van 28 oktober 2026 en maakte het incident bekend in berichten op X (bericht, bericht), met de waarschuwing dat de aanval ten tijde van de openbaarmaking nog gaande was. De volledige financiële impact wordt nog onderzocht.

Vervalste batch root maakte ongeautoriseerde opnames mogelijk

De aanvaller richtte zich op de settlement-infrastructuur van zkLink Nova, die activatransfers coördineert tussen Ethereum en verbonden Layer 2-netwerken. De aanval hield in dat een vervalste batch root werd ingediend via een openbaar toegankelijke relayer, waardoor ongeautoriseerde opnames van Ether (ETH) en ERC-20-tokens uit de Ethereum Layer 1-escrowcontracten van zkLink Nova naar door de aanvaller gecontroleerde adressen mogelijk werden.

Onder de cross-chain settlement-architectuur van zkLink worden transactiebatches geverifieerd op Linea voordat hun bevestigde roots worden doorgestuurd naar secundaire netwerken, waaronder Ethereum, waar ze opnames autoriseren. Elke bevestigde root dient als een cryptografische toezegging op een batch transacties, en de contracten aan de Ethereum-kant vertrouwen op die doorgestuurde toezegging bij het autoriseren van opnames, waardoor de integriteit ervan centraal staat in het beveiligingsmodel van de brug.

Door de frauduleuze batch root via de openbare relayer te injecteren, omzeilde de aanvaller het verwachte verificatieproces. Dit zorgde ervoor dat de contracten aan de Ethereum-kant ongeautoriseerde opnameverzoeken als geldig herkenden en activa in escrow vrijgaven.

De exploit trof de berichtverificatie en opnameautorisatie van de brug; echter, de exacte kwetsbaarheid die de vervalste root door de validatie liet komen, is niet vastgesteld. Onderzoekers hebben geen bewijs onthuld van gecompromitteerde administratorsleutels en de aanvaller is niet geïdentificeerd.

ETH- en ERC-20-brugreserves lijden verliezen

De getroffen transacties verwijderden activa uit de Ethereum-escrow- en ERC-20-brugcontracten van zkLink Nova. Eén geïdentificeerde Ethereum-transactie verplaatste ongeveer 22,43 ETH samen met 11 ERC-20-activa naar een door de aanvaller gecontroleerd adres. De grootste opname betrof circa 245,74 pufETH, ter waarde van ongeveer $613.500 op het moment dat de transactie werd onderzocht.

Aanvullende transfers omvatten ongeveer 18.113 USDC en 3.361 USDT, beide aan de dollar gekoppelde stablecoins, naast kleinere hoeveelheden andere tokens. De gecombineerde waarde van de transactie werd geschat op $779.000, hetgeen het grootste deel van Blockaids initiële verliesraming vertegenwoordigt in plaats van een apart incident.

Omdat de aanval zich richtte op de reserves die de via zkLink Nova overgedragen activa dekken, ontstaan er potentiële opname- en liquiditeitsrisico's voor gebruikers die op die contracten vertrouwen. Bruggen concentreren die reserves in Layer 1-escrowcontracten zodat dezelfde activa over meerdere netwerken kunnen circuleren — een structuur die escrow-brugfondsen tot een terugkerend doelwit heeft gemaakt wanneer cross-chain berichtverificatie faalt.

Vergelijkbare cross-chain verificatiefouten hebben in 2026 andere protocollen getroffen. In juli verloor de Verus Ethereum Bridge $7,54 miljoen nadat frauduleuze importinstructies ongeautoriseerde opnames hadden getriggerd. Meer recentelijk resulteerde de brugexploit van Initia op 23 oktober in verliezen van ongeveer $2,7 miljoen nadat een aanvaller een MoveVM-kwetsbaarheid misbruikte om ongedekte activa te creëren en deze in te wisselen tegen echte cross-chain reserves.

Terugvordering en beveiligingsreactie nog niet bevestigd

zkLink heeft publiekelijk niet bevestigd wat de volledige omvang van de exploit is, of de getroffen brugcontracten zijn opgeschort, of of gestolen activa zijn teruggevorderd. Er is geen geverifieerd herstelplan, compensatieregeling of tijdlijn voor het herstellen van veilige opnames aangekondigd.

Gebruikers met activa op zkLink Nova staan voor onzekerheid over de beschikbaarheid van de reserves die opnames naar Ethereum dekken. Verdere brugtransacties brengen extra risico met zich mee totdat de getroffen infrastructuur is beveiligd en de operationele status ervan is bevestigd.

Blockaids initiële waarschuwing classificeerde de aanval als gaande, en de meest recent beschikbare informatie heeft niet vastgesteld dat de kwetsbaarheid is ingedamt of dat ongeautoriseerde opnames zijn gestopt. De ontwikkelingen die de uiteindelijke impact zouden verduidelijken, zijn de officiële bevestiging van de operationele status van de getroffen contracten, bijgewerkte verliescijfers naarmate on-chain spooronderzoek vordert, en elke openbaarmaking over hoe de vervalste root de validatie passeerde.