Atakujący wypłacił około 786 000 dolarów w kryptowalutach z mostu Ethereum zkLink Nova, wykorzystując jego międzyłańcuchowy proces weryfikacji do autoryzacji oszukańczych wypłat.

Firma zajmująca się bezpieczeństwem blockchainów Blockaid zidentyfikowała eksploit późnym wieczorem 28 października 2026 roku, ujawniając incydent w postach na X (poście, poście) i ostrzegając, że atak był wciąż trwający w momencie publikacji informacji. Pełny wpływ finansowy pozostaje przedmiotem dochodzenia.

Podrobiony korzeń partii umożliwił nieautoryzowane wypłaty

Atakujący celował w infrastrukturę rozliczeniową zkLink Nova, która koordynuje transfery aktywów między Ethereum a połączonymi sieciami warstwy 2. Atak polegał na przesłaniu podrobionego korzenia partii za pośrednictwem publicznie dostępnego rejlatora, co umożliwiło nieautoryzowane wypłaty Etheru (ETH) i tokenów ERC-20 z kontraktów depozytowych warstwy 1 Ethereum zkLink Nova na adresy kontrolowane przez atakującego.

Zgodnie z międzyłańcuchową architekturą rozliczeniową zkLinka partie transakcji są weryfikowane na Linea, zanim ich potwierdzone korzenie zostaną przekazane do sieci wtórnych, w tym Ethereum, gdzie autoryzują one wypłaty. Każdy potwierdzony korzeń stanowi kryptograficzne zobowiązanie do partii transakcji, a kontrakty po stronie Ethereum opierają się na tym przekazanym zobowiązaniu przy autoryzacji wypłat, co czyni jego integralność kluczowym elementem modelu bezpieczeństwa mostu.

Wstrzykując podrobiony korzeń partii za pośrednictwem publicznego rejlatora, atakujący ominął oczekiwany proces weryfikacji. Umożliwiło to kontraktom po stronie Ethereum uznanie nieautoryzowanych wniosków o wypłatę za ważne i uwolnienie aktywów trzymanych w depozycie.

Eksploit wpłynął na weryfikację wiadomości i autoryzację wypłat mostu; jednakże dokładna podatność, która pozwoliła podrobionemu korzeniowi przejść walidację, nie została ustalona. Śledczy nie ujawnili dowodów na przejęcie kluczy administratora ani nie zidentyfikowali atakującego.

Rezerwy mostu ETH i ERC-20 ponoszą straty

Objęte atakiem transakcje usunęły aktywa z kontraktów depozytowych Ethereum zkLink Nova i kontraktów mostu ERC-20. Jedna z zidentyfikowanych transakcji na Ethereum przetransferowała około 22,43 ETH wraz z 11 aktywami ERC-20 na adres kontrolowany przez atakującego. Największa wypłata obejmowała około 245,74 pufETH o wartości około 613 500 dolarów w momencie analizy transakcji.

Dodatkowe transfery obejmowały około 18 113 USDC i 3361 USDT — oba będące stablecoinami powiązanymi z dolarem — wraz z mniejszymi ilościami innych tokenów. Łączna wartość transakcji została oszacowana na 779 000 dolarów, co stanowi większość wstępnego szacunku strat Blockaidu, a nie odrębny incydent.

Ponieważ atak był wymierzony w rezerwy zabezpieczające aktywa transferowane przez zkLink Nova, tworzy potencjalne ryzyko wypłat i płynności dla użytkowników polegających na tych kontraktach. Mosty koncentrują te rezerwy w kontraktach depozytowych warstwy 1, dzięki czemu te same aktywa mogą krążyć w wielu sieciach — struktura ta sprawia, że zdeponowane środki mostów są powracającym celem, gdy weryfikacja międzyłańcuchowych wiadomości zawodzi.

Podobne awarie weryfikacji międzyłańcuchowej dotknęły w 2026 roku inne protokoły. W lipcu most Verus Ethereum stracił 7,54 miliona dolarów po tym, jak fałszywe instrukcje importu wywołały nieautoryzowane wypłaty. Nowszy eksploit mostu Initia z 23 października przyniósł straty wynoszące około 2,7 miliona dolarów, gdy atakujący wykorzystał podatność MoveVM do stworzenia aktywów bez pokrycia i ich spieniężenia kosztem rzeczywistych rezerw międzyłańcuchowych.

Odzyskiwanie i reakcja na zagrożenie pozostają niepotwierdzone

zkLink nie potwierdził publicznie pełnego zakresu eksploitów, tego, czy objęte atakiem kontrakty mostu zostały zawieszone, ani czy jakiekolwiek skradzione aktywa zostały odzyskane. Nie ogłoszono żadnego zweryfikowanego planu naprawczego, ustaleń dotyczących rekompensat ani harmonogramu przywrócenia bezpiecznych wypłat.

Użytkownicy posiadający aktywa na zkLink Nova stają w obliczu niepewności co do dostępności rezerw zabezpieczających wypłaty do Ethereum. Dalsze transakcje mostowe wiążą się z dodatkowym ryzykiem, dopóki objęta atakiem infrastruktura nie zostanie zabezpieczona, a jej status operacyjny potwierdzony.

Wstępne ostrzeżenie Blockaidu klasyfikowało atak jako trwający, a najnowsze publicznie dostępne informacje nie potwierdziły, że podatność została usunięta lub że nieautoryzowane wypłaty ustały. Rozwoj sytuacji, który wyjaśniłby ostateczny wpływ, wymagałby oficjalnego potwierdzenia statusu operacyjnego objętych atakiem kontraktów, zaktualizowanych danych o stratach w miarę postępu śledztwa on-chain oraz ujawnienia, w jaki sposób podrobiony korzeń przeszedł walidację.