Een aanvaller heeft de Ethereum-escrow van zkLink Nova op woensdag 28 oktober geleegd tot ongeveer 0,001 ETH, waarbij via een publieke relayer een vervalste batch root naar het netwerk werd verzonden. Het blockchainbeveiligingsbedrijf Blockaid, dat de exploit signaleerde, schat dat tot dusver circa $786.000 aan ETH en ERC-20-tokens is buitgemaakt en waarschuwde dat de aanval ten tijde van de melding nog gaande was.

Blockaid signaleerde de publieke-relayeraanval om 22:24 ET

Blockaid maakte het incident bekend in een bericht op X om 22:24 ET op 28 oktober. Volgens het bedrijf gebruikte de aanvaller een publieke relayer om een valse root op Ethereum te injecteren en vervolgens ETH- en ERC-20-opnames uit de Layer 1-escrow van Nova te finaliseren naar zelfgekozen ontvangstadressen.

"~$786k drained from L1 ETH escrow and ERC20 bridge so far. Attack still ongoing," schreef Blockaid.

zkLink Nova neemt activa op van Ethereum en de verbonden Layer 2-netwerken en bundelt deze. Stortingen blijven in contracten op hun bronchains staan en worden via de canonieke bridge van Nova bijgeschreven. Een batch root is de hashwaarde die een bridge gebruikt om berichten te verifiëren — in dit geval de opnames die Nova had goedgekeurd. Volgens het settlementontwerp van zkLink moeten batches proof-checks en cross-chain-consistentiechecks doorlopen voordat ze kunnen worden gefinaliseerd, en mogen opnames pas plaatsvinden nadat de batch root aan verbonden chains is toegewezen. Die architectuur plaatst activa die uit meerdere chains zijn gebundeld achter één verificatiestap, wat betekent dat één onjuist gevalideerde root opnames kan autoriseren tegen de volledige escrow-saldo in plaats van een individuele rekening.

Blockaid zei dat de vervalste root in plaats daarvan via een publieke relayer op Ethereum werd geïnjecteerd. Transactielogboeken van de aanval tonen een nieuwe batch root die in dezelfde transactie is geregistreerd als de ETH- en tokenopnames, direct vóór deze.

Eén transactie om 18:21 verplaatste $778.625,84 naar één ontvanger

De grootste transactie vond plaats op 28 oktober om 18:21 ET, enkele uren vóór de waarschuwing van Blockaid. Daarbij werden 22,43 ETH uit de Ethereum-escrow van Nova gehaald, samen met 11 ERC-20-tokens uit de token bridge, die allemaal naar één adres werden gestuurd. In de thread van Blockaid werden twee door de hacker gebruikte adressen genoemd en werd de ERC-20-bridge geïdentificeerd als tweede doelcontract.

Het grootste deel was 245,74 pufETH, ter waarde van circa $613.536 tegen de prijzen op Etherscan. Ongeveer 18.113 USDC en 3.361 USDT gingen mee. Tegen de prijzen die Etherscan toont, komen de transfers in totaal uit op $778.625,84; aangezien dit cijfer slechts één transactie dekt, is het totale verlies moeilijk vast te stellen.

Etherscan toonde later aan dat er nog slechts ongeveer 0,001 ETH over was in de gehackte ETH-escrow. Om 22:29 ET was de pauzevlag van de escrow echter nog steeds niet gezet, waardoor onduidelijk blijft of andere controles verdere opnames hebben stopgezet. De openstaande vragen op moment van schrijven waren of de pauzevlag zou worden gezet en hoe hoog het definitieve verlies zou uitkomen zodra alle getroffen transacties zijn meegeteld.

Vervalste inputs troffen elf dagen eerder een andere bridge

Het zkLink-incident was het tweede in elf dagen met vervalste bridge-inputs. Op 17 oktober werd, zoals Cryptopolitan meldde, via een vals mint-bericht 10 miljoen ongeautoriseerde CYS-tokens gecreëerd via de cross-chain bridge van Cysic. De Cysic-aanvaller verkocht 7,2 miljoen van de tokens, en diens wallet stuurde circa $727.000 naar Ethereum voordat het project het adres op de zwarte lijst zette.

Apart daarvan verliet circa $7,54 miljoen in juli de Verus Ethereum bridge, de tweede keer dat deze bridge fondsen verloor. In mei werd bij het eerste incident $11,58 miljoen buitgemaakt. Blockaid koppelde de twee Verus-aanvallen aan hetzelfde contract en dezelfde importroute. De exploit van mei kwam voort uit ongeveer 10 ontbrekende regels Solidity-validatie in de functie checkCCEValues van de bridge — dezelfde klasse van validatiefout achter de Wormhole- en Nomad-aanvallen in 2022, die dat jaar samen honderden miljoenen dollars wegsluisten. De recente reeks incidenten, gebaseerd op valse mint-berichten, vervalste batch roots en ontbrekende validatiechecks, laat zien hoeveel gebundelde cross-chain waarde kan afhangen van de verificatiecode van een bridge.