zklink

🚨 Hackeo a zkLink Nova: vulneran su puente y ofrecen 20% de recompensa al atacante.

zkLink Nova —una red de capa 3 (Layer 3) diseñada para conectar y compartir liquidez entre diferentes blockchains de $ETH Ethereum— confirmó un ataque directo a los contratos de su puente. La firma de ciberseguridad SlowMist calcula pérdidas cercanas a los $783.100 dólares.
El atacante aprovechó una falla de validación en el contrato para retirar los fondos. Para evitar daños mayores, el equipo ofreció un 20% de recompensa como hacker ético (white hat) si devuelve el dinero robado, prometiendo no iniciar acciones legales.

¿Crees que estas recompensas son suficientes para que devuelvan los fondos o dejan mal parados a los protocolos?

#zkLink #SeguridadCripto

zkLink 跨链桥暂停服务了！攻击者归还资金还能拿赏金！

刚刚，zkLink 跨链桥被黑了！暂停服务，提款也关闭了。但是，别怕，向攻击者归还资金还能拿到20%的白帽赏金哦！约78.6万美元的损失，得赶紧追回！#zkLink #跨链桥攻击 #白帽赏金

zkLink puente跨链暂停服务, recompensa del 20% para instar al atacante a devolver los fondos

El puente跨链 de zkLink sufrió un ataque, suspendió el servicio y cerró los retiros. Para el atacante, zkLink propuso como condición devolver los fondos a cambio de una recompensa de sombrero blanco del 20%, con pérdidas de hasta 786000 dólares. Seguimos rastreando los fondos y hemos estado actuando todo el tiempo.#zkLink #跨链桥攻击 #rastreo_de_fondos

zkLink 官方确认 Nova 跨链桥仍在遭攻击，开出 20% 白帽赏金喊话归还资金

据 KuCoin 转引 Odaily、ME News 报道，北京时间 10 月 29 日晚，zkLink 官方在 X 上发帖确认：zkLink Nova 在以太坊和 Optimism 上的 Arbitrator 合约仍在持续遭攻击，技术团队正在紧急止损；官方呼吁攻击者立即停止对所有链上 zkLink Nova 合约的进一步利用并归还资金，配合归还可获 20% 漏洞赏金、不再追究。

要点：
- 攻击仍在进行：这不是一次性事件的旧闻复述，而是官方在今晚确认攻击尚未停止，范围覆盖以太坊与 Optimism 两条链的 Arbitrator 合约。
- 损失规模约 78 万美元：据 Blockaid 监测，攻击者通过公开中继器注入伪造的批次根（batch root），从 zkLink Nova 的以太坊 L1 托管合约中提走 ETH 与 ERC-20 资产，SlowMist 估计损失约 78.31 万美元，其中最大头是约 245.74 枚 pufETH（约 61.5 万美元）。
- 根因已披露：SlowMist 分析称，Arbitrator 合约的 claimMessage 函数未清除临时 finalizeMessageHash，且每次调用未要求新的认证回调，攻击者借此伪造批次根完成提款。
- 可能影响：跨链桥安全事件会直接打击用户对桥与相关资产的信任，短线对 ZKL 构成利空；更重要的是“仍在持续”四个字——在官方宣布止血前，Nova 相关合约的交互风险都未解除。

我的判断：对 $ZKL 短期偏看跌，因为攻击仍在持续且官方尚未宣布漏洞已封堵，信任修复需要时间，资金有理由先避开。

来源：据 zkLink 官方 X 发帖，KuCoin 转引 Odaily、ME News；损失与根因据 Blockaid、SlowMist 监测分析。

#跨链桥安全 #zkLink #黑客攻击

你会因为一次桥攻击就永久拉黑一个项目，还是等修复审计后再看？评论区聊聊，点标签看实时行情。仅供参考，不构成投资建议。

【市场快讯】zkLink Nova跨链桥遭攻击，约78.6万美元被盗
攻击者通过公开中继器向以太坊注入伪造批次根，从zkLink Nova一层托管合约提走ETH和ERC-20代币。Blockaid称被盗约78.6万美元，攻击仍在进行。
其中一笔转出778,625.84美元，含22.43枚ETH和11种代币，最大一笔245.74枚pufETH约61.35万美元。托管合约仅剩约0.001枚ETH，暂停标志未设置。
#币安广场 #zkLink
（来源：Cryptopolitan）

🚨 Según informes, el puente de Ethereum de zkLink Nova perdió alrededor de $786K, y el problema clave no fueron los precios de los tokens

Según Blockaid, un atacante utilizó un relayer público para inyectar una raíz de lote falsificada y luego finalizó retiros no autorizados de ETH y ERC-20 de las reservas del puente

$ETH

🔍 Se supone que una raíz de lote autentica el historial de transacciones antes de que se liberen los activos
Si el puente acepta una raíz falsificada, las pruebas de retiro pueden parecer válidas frente a un historial que nunca existió legítimamente
Esa es la parte peligrosa
Los activos reales pueden salir del depósito en garantía sin que haya un retiro legítimo coincidente en el otro lado


⚠️ En su alerta inicial, Blockaid describió el ataque como en curso, pero la contención y las pérdidas finales siguen sin confirmarse

📌 Si dependes del puente de zkLink Nova, verifica las actualizaciones de seguridad oficiales antes de hacer nuevas transferencias
Esto es una advertencia sobre la verificación de mensajes entre cadenas, no una prueba de que Ethereum o la propia criptografía de conocimiento cero hayan sido comprometidos $ETH


#zkLink #Ethereum

【Última hora del mercado】Una transacción retiró 779.000 dólares: se reveló que el puente zkLink Nova falsificó una raíz de lote; el atacante completó un retiro no autorizado y el contrato de custodia principal aún no se había pausado después del incidente.
La defensa no fue vulnerada, sino «engañada»: si se pueden falsificar las raíces de lote, retirar fondos se convierte en un mero trámite.
La advertencia ya está dada, pero aún no se ha pulsado el botón de pausa. Este periodo de inactividad es la verdadera exposición al riesgo.
¿Aún te atreves a mantener tus activos durante mucho tiempo en un puente entre cadenas?
$ZKL $ETH $BTC
#zkLink #跨链桥安全 #AtaqueHacker
(Fuente: The Defiant)
⚠️Aviso de riesgo: La información anterior se comparte con fines informativos sobre el mercado y no constituye asesoramiento de inversión. Toda inversión conlleva riesgos; actúa con prudencia.

Anoche hackearon el puente cross-chain de zkLink Nova: un certificado de lote falsificado permitió retirar unos 780.000 dólares

El 28 de octubre a las 22:21 UTC, una transacción retiró unos 780.000 dólares del contrato de custodia de Ethereum de zkLink Nova. En Pekín eran las 6:21 de esta mañana. Blockaid dio primero la alarma y dijo que el ataque seguía en curso; el contrato principal de custodia aún no se había pausado. SlowMist calculó que el botín rondaba los 783.100 dólares.

zkLink Nova es una red de capa 3 de tipo agregador cuya liquidación final se realiza en Ethereum. Cuando los usuarios retiran fondos de Nova a Ethereum, el contrato de custodia primero debe verificar un certificado llamado batch root, que funciona como la huella digital de un lote de transacciones. El contrato solo autoriza el retiro si lo reconoce. El problema estaba en quién podía escribir esa huella en el contrato.

El análisis de SlowMist apunta a la función claimMessage del contrato Arbitrator. Esta utilizaba finalizeMessageHash sin borrarlo después, y tampoco exigía una autenticación nueva en cada llamada de retorno. El atacante primero usó un contrato de retransmisión que cualquiera podía llamar para insertar un hash válido. Luego cambió el objetivo por la puerta de enlace de Ethereum, haciendo que el paso de sincronización del batch root pareciera provenir de una puerta de enlace legítima. Una vez suplantada la identidad, la raíz falsa del lote 116409 quedó registrada en el contrato. Todas las pruebas de retiro que presentó coincidían, y el contrato de custodia autorizó las operaciones. Todo ocurrió en una sola transacción, en el bloque 26294188.

Se retiraron 12 tipos de activos. La mayor parte correspondió a pufETH de Puffer: 245,74 tokens, unos 615.000 dólares, casi el 80 % del total. El resto incluía 22,43 ETH, 12,57 ezETH, 18.113 USDC y pequeñas cantidades de otros tokens. En menos de una hora, el atacante ya había intercambiado 123,26 ETH en Curve y luego transfirió unos 303 ETH a tres direcciones en tres operaciones. Más tarde, otra dirección del atacante retiró del mismo puente unos 216,4 millones de ZKL, valorados en aproximadamente 42.000 dólares.

La lección para los inversores minoristas no tiene que ver con la cantidad. 780.000 dólares no es mucho: el incidente de Kelp DAO de abril de este año ascendió a 292 millones de dólares. Lo que de verdad conviene recordar es cómo ocurrió. Se trató un contrato de retransmisión de acceso público como si fuera una autoridad autorizada y un valor temporal que no se había borrado permitió que la cadena de verificación se rompiera por la mitad. Si la puerta de la caja fuerte reconoce a la persona equivocada, da igual cuánto haya dentro: no podrá protegerlo. Al momento de escribir esto, zkLink aún no había publicado ningún comunicado, ni confirmado si había pausado el puente, y mucho menos anunciado un plan de compensación. Intentar retirar fondos a toda prisa ahora podría equivaler a volver a enviar dinero por una puerta que todavía no se ha cerrado.

Mi opinión es muy clara: si ocurre un incidente en un puente, primero hay que consultar los canales oficiales para confirmar si se ha pausado; no hay que adelantarse con los retiros. Si el puente no ha anunciado una pausa, mejor no depositar fondos ni interactuar con él por ahora. Si ya tienes activos allí, retirarlos en varios lotes es más prudente que hacerlo todo de una vez. Antes de retirar, consulta el aviso sobre la pausa.

¿Tienes activos bloqueados ahora mismo en algún puente cross-chain? ¿Cuándo fue la última vez que comprobaste su estado de pausa y los comunicados oficiales?

#BTC #跨链桥 #安全复盘 #zkLink #SeguridadDeFi

—— web3韭菜小凯
Este contenido recopila información pública y no constituye asesoramiento de inversión. Las cantidades mencionadas se basan en los registros públicos de Blockaid, SlowMist y Etherscan. Para información posterior del equipo del proyecto, consulta sus canales oficiales.