Атакующий вывел около $786 000 в криптовалюте с Ethereum-моста zkLink Nova, воспользовавшись процессом межчейн-верификации для авторизации мошеннических выводов.

Компания в области блокчейн-безопасности Blockaid выявила уязвимость поздно вечером 28 октября 2026 года, сообщив об инциденте в публикациях в X (пост, пост) и предупредив, что на момент раскрытия информации атака все еще продолжалась. Полный финансовый ущерб пока выясняется.

Поддельный корень батча позволил несанкционированные выводы

Атакующий атаковал расчетную инфраструктуру zkLink Nova, которая координирует переводы активов между Ethereum и подключенными сетями Layer 2. В рамках атаки через общедоступный ретранслятор был отправлен поддельный корень батча, что позволило осуществить несанкционированные выводы Ether (ETH) и токенов ERC-20 из эскроу-контрактов zkLink Nova в Ethereum Layer 1 на подконтрольные атакующему адреса.

Согласно межчейн-архитектуре расчетов zkLink, батчи транзакций верифицируются в Linea, после чего их подтвержденные корни передаются во вторичные сети, включая Ethereum, где они авторизуют выводы. Каждый подтвержденный корень представляет собой криптографическое обязательство по пакету транзакций, и контракты на стороне Ethereum полагаются на это переданное обязательство при авторизации выводов, что делает его целостность центральной для модели безопасности моста.

Внедрив поддельный корень батча через публичный ретранслятор, атакующий обошел ожидаемый процесс верификации. Это позволило контрактам на стороне Ethereum признать несанкционированные запросы на вывод действительными и высвободить активы, находящиеся в эскроу.

Уязвимость затронула верификацию сообщений моста и авторизацию выводов, однако точная уязвимость, позволившая поддельному корню пройти валидацию, не установлена. Следователи не раскрыли доказательств компрометации административных ключей и не установили личность атакующего.

Резервы моста в ETH и ERC-20 понесли потери

Затронутые транзакции вывели активы из эскроу zkLink Nova в Ethereum и контрактов моста ERC-20. В одной выявленной транзакции в Ethereum было переведено около 22,43 ETH вместе с 11 активами ERC-20 на подконтрольный атакующему адрес. Крупнейший вывод составил примерно 245,74 pufETH стоимостью около $613 500 на момент изучения транзакции.

Дополнительные переводы включали около 18 113 USDC и 3 361 USDT — оба являются стейблкоинами, привязанными к доллару, — а также небольшие объемы других токенов. Совокупная стоимость транзакции оценивается в $779 000, что составляет большую часть первоначальной оценки потерь от Blockaid, а не отдельный инцидент.

Поскольку атака была направлена на резервы, обеспечивающие активы, переведенные через zkLink Nova, она создает потенциальные риски вывода и ликвидности для пользователей, полагающихся на эти контракты. Мосты концентрируют эти резервы в эскроу-контрактах Layer 1, чтобы одни и те же активы могли обращаться в нескольких сетях — структура, из-за которой средства моста в эскроу регулярно становятся целью при сбоях верификации межчейн-сообщений.

В 2026 году схожие сбои межчейн-верификации затронули и другие протоколы. В июле мост Verus Ethereum потерял $7,54 млн после того, как мошеннические инструкции по импорту спровоцировали несанкционированные выводы. Позднее, 23 октября, эксплойт моста Initia привел к потерям около $2,7 млн: атакующий использовал уязвимость в MoveVM, чтобы создать активы без обеспечения и погасить их за счет реальных межчейн-резервов.

Восстановление и меры безопасности остаются неподтвержденными

zkLink публично не подтвердил полный масштаб уязвимости, не сообщил, были ли приостановлены затронутые контракты моста, и не уточнил, удалось ли вернуть похищенные активы. Проверенный план устранения последствий, схема компенсаций или сроки восстановления безопасных выводов не были объявлены.

Пользователи с активами в zkLink Nova сталкиваются с неопределенностью относительно доступности резервов, обеспечивающих выводы в Ethereum. Дальнейшие транзакции через мост сопряжены с дополнительным риском, пока затронутая инфраструктура не будет защищена и ее рабочий статус не будет подтвержден.

Первое предупреждение Blockaid классифицировало атаку как продолжающуюся, а последняя доступная информация не подтверждает, что уязвимость устранена или что несанкционированные выводы прекратились. Окончательную картину прояснят официальное подтверждение рабочего статуса затронутых контрактов, уточненные данные о потерях по мере продолжения отслеживания в блокчейне и раскрытие информации о том, как поддельный корень прошел валидацию.