zklink

🚨 Hackeo a zkLink Nova: vulneran su puente y ofrecen 20% de recompensa al atacante.

zkLink Nova —una red de capa 3 (Layer 3) diseñada para conectar y compartir liquidez entre diferentes blockchains de $ETH Ethereum— confirmó un ataque directo a los contratos de su puente. La firma de ciberseguridad SlowMist calcula pérdidas cercanas a los $783.100 dólares.
El atacante aprovechó una falla de validación en el contrato para retirar los fondos. Para evitar daños mayores, el equipo ofreció un 20% de recompensa como hacker ético (white hat) si devuelve el dinero robado, prometiendo no iniciar acciones legales.

¿Crees que estas recompensas son suficientes para que devuelvan los fondos o dejan mal parados a los protocolos?

#zkLink #SeguridadCripto

¡El puente cross-chain de zkLink ha suspendido sus servicios! ¡El atacante aún puede obtener una recompensa si devuelve los fondos!

¡Acaban de hackear el puente cross-chain de zkLink! Se han suspendido los servicios y también se han cerrado los retiros. Pero no te preocupes: si el atacante devuelve los fondos, ¡puede obtener una recompensa del 20% por sombrero blanco! Las pérdidas ascienden a unos 786.000 dólares; ¡hay que recuperarlos cuanto antes! #zkLink #跨链桥攻击 #RecompensaSombreroBlanco

zkLink puente跨链暂停服务, recompensa del 20% para instar al atacante a devolver los fondos

El puente跨链 de zkLink sufrió un ataque, suspendió el servicio y cerró los retiros. Para el atacante, zkLink propuso como condición devolver los fondos a cambio de una recompensa de sombrero blanco del 20%, con pérdidas de hasta 786000 dólares. Seguimos rastreando los fondos y hemos estado actuando todo el tiempo.#zkLink #跨链桥攻击 #rastreo_de_fondos

zkLink confirma oficialmente que el puente cross-chain de Nova sigue bajo ataque y ofrece una recompensa del 20 % a cambio de la devolución de los fondos

Según informaron KuCoin, citando a Odaily y ME News, la noche del 29 de octubre, hora de Pekín, zkLink confirmó en una publicación en X que los contratos Arbitrator de zkLink Nova en Ethereum y Optimism siguen siendo atacados. El equipo técnico trabaja con urgencia para limitar las pérdidas. La plataforma instó al atacante a detener de inmediato cualquier otra explotación de los contratos de zkLink Nova en todas las cadenas y a devolver los fondos. A cambio de colaborar con la devolución, podrá recibir una recompensa por la vulnerabilidad del 20 % y no se le exigirán responsabilidades.

Puntos clave:
- El ataque sigue en curso: no se trata de una recapitulación de un incidente puntual ocurrido en el pasado; esta noche, la plataforma confirmó que el ataque no se ha detenido y que afecta a los contratos Arbitrator en Ethereum y Optimism.
- Las pérdidas rondan los 780.000 dólares: según el monitoreo de Blockaid, el atacante inyectó una raíz de lote (batch root) falsificada mediante un relayer público y retiró ETH y activos ERC-20 del contrato de custodia L1 de zkLink Nova en Ethereum. SlowMist estima las pérdidas en unos 783.100 dólares, de los cuales la mayor parte corresponde a unos 245,74 pufETH (aproximadamente 615.000 dólares).
- Ya se ha revelado la causa raíz: el análisis de SlowMist indica que la función claimMessage del contrato Arbitrator no borra temporalmente finalizeMessageHash y que no exige una nueva llamada de retorno de autenticación en cada invocación. El atacante aprovechó esto para falsificar una raíz de lote y completar los retiros.
- Posibles consecuencias: un incidente de seguridad en un puente cross-chain afecta directamente la confianza de los usuarios en el puente y los activos relacionados, lo que supone un factor bajista a corto plazo para ZKL. Más importante aún, la expresión «sigue en curso»: hasta que la plataforma anuncie que ha contenido el ataque, no se habrá eliminado el riesgo de interactuar con los contratos relacionados con Nova.

Mi opinión: a corto plazo, tengo una perspectiva bajista para $ZKL, porque el ataque sigue en curso y la plataforma aún no ha anunciado que la vulnerabilidad esté parcheada. Recuperar la confianza llevará tiempo, por lo que es razonable que los fondos se mantengan al margen por ahora.

Fuentes: publicación de zkLink en X, citada por KuCoin, Odaily y ME News; análisis del alcance de las pérdidas y de la causa raíz según el monitoreo de Blockaid y SlowMist.

#跨链桥安全 #zkLink #AtaqueDeHackers

¿Pondrías en lista negra para siempre un proyecto tras un ataque a su puente o esperarías a que se repare y se audite antes de decidir? Cuéntanos en los comentarios y pulsa la etiqueta para ver las cotizaciones en tiempo real. Solo con fines informativos; no constituye asesoramiento de inversión.

【Última hora del mercado】El puente cross-chain de zkLink Nova sufre un ataque; roban aproximadamente 786.000 dólares
El atacante inyectó una raíz de lote falsificada en Ethereum a través de un relé público y retiró ETH y tokens ERC-20 del contrato de custodia de capa 1 de zkLink Nova. Según Blockaid, se robaron aproximadamente 786.000 dólares y el ataque sigue en curso.
Una de las transferencias fue de 778.625,84 dólares e incluyó 22,43 ETH y 11 tipos de tokens. La mayor transferencia fue de 245,74 pufETH, valorados en unos 613.500 dólares. Al contrato de custodia solo le quedan aproximadamente 0,001 ETH y no se ha activado la bandera de pausa.
#币安广场 #zkLink
(Fuente: Cryptopolitan)

🚨 Según informes, el puente de Ethereum de zkLink Nova perdió alrededor de $786K, y el problema clave no fueron los precios de los tokens

Según Blockaid, un atacante utilizó un relayer público para inyectar una raíz de lote falsificada y luego finalizó retiros no autorizados de ETH y ERC-20 de las reservas del puente

$ETH

🔍 Se supone que una raíz de lote autentica el historial de transacciones antes de que se liberen los activos
Si el puente acepta una raíz falsificada, las pruebas de retiro pueden parecer válidas frente a un historial que nunca existió legítimamente
Esa es la parte peligrosa
Los activos reales pueden salir del depósito en garantía sin que haya un retiro legítimo coincidente en el otro lado


⚠️ En su alerta inicial, Blockaid describió el ataque como en curso, pero la contención y las pérdidas finales siguen sin confirmarse

📌 Si dependes del puente de zkLink Nova, verifica las actualizaciones de seguridad oficiales antes de hacer nuevas transferencias
Esto es una advertencia sobre la verificación de mensajes entre cadenas, no una prueba de que Ethereum o la propia criptografía de conocimiento cero hayan sido comprometidos $ETH


#zkLink #Ethereum

【Última hora del mercado】Una transacción retiró 779.000 dólares: se reveló que el puente zkLink Nova falsificó una raíz de lote; el atacante completó un retiro no autorizado y el contrato de custodia principal aún no se había pausado después del incidente.
La defensa no fue vulnerada, sino «engañada»: si se pueden falsificar las raíces de lote, retirar fondos se convierte en un mero trámite.
La advertencia ya está dada, pero aún no se ha pulsado el botón de pausa. Este periodo de inactividad es la verdadera exposición al riesgo.
¿Aún te atreves a mantener tus activos durante mucho tiempo en un puente entre cadenas?
$ZKL $ETH $BTC
#zkLink #跨链桥安全 #AtaqueHacker
(Fuente: The Defiant)
⚠️Aviso de riesgo: La información anterior se comparte con fines informativos sobre el mercado y no constituye asesoramiento de inversión. Toda inversión conlleva riesgos; actúa con prudencia.

Anoche hackearon el puente cross-chain de zkLink Nova: un certificado de lote falsificado permitió retirar unos 780.000 dólares

El 28 de octubre a las 22:21 UTC, una transacción retiró unos 780.000 dólares del contrato de custodia de Ethereum de zkLink Nova. En Pekín eran las 6:21 de esta mañana. Blockaid dio primero la alarma y dijo que el ataque seguía en curso; el contrato principal de custodia aún no se había pausado. SlowMist calculó que el botín rondaba los 783.100 dólares.

zkLink Nova es una red de capa 3 de tipo agregador cuya liquidación final se realiza en Ethereum. Cuando los usuarios retiran fondos de Nova a Ethereum, el contrato de custodia primero debe verificar un certificado llamado batch root, que funciona como la huella digital de un lote de transacciones. El contrato solo autoriza el retiro si lo reconoce. El problema estaba en quién podía escribir esa huella en el contrato.

El análisis de SlowMist apunta a la función claimMessage del contrato Arbitrator. Esta utilizaba finalizeMessageHash sin borrarlo después, y tampoco exigía una autenticación nueva en cada llamada de retorno. El atacante primero usó un contrato de retransmisión que cualquiera podía llamar para insertar un hash válido. Luego cambió el objetivo por la puerta de enlace de Ethereum, haciendo que el paso de sincronización del batch root pareciera provenir de una puerta de enlace legítima. Una vez suplantada la identidad, la raíz falsa del lote 116409 quedó registrada en el contrato. Todas las pruebas de retiro que presentó coincidían, y el contrato de custodia autorizó las operaciones. Todo ocurrió en una sola transacción, en el bloque 26294188.

Se retiraron 12 tipos de activos. La mayor parte correspondió a pufETH de Puffer: 245,74 tokens, unos 615.000 dólares, casi el 80 % del total. El resto incluía 22,43 ETH, 12,57 ezETH, 18.113 USDC y pequeñas cantidades de otros tokens. En menos de una hora, el atacante ya había intercambiado 123,26 ETH en Curve y luego transfirió unos 303 ETH a tres direcciones en tres operaciones. Más tarde, otra dirección del atacante retiró del mismo puente unos 216,4 millones de ZKL, valorados en aproximadamente 42.000 dólares.

La lección para los inversores minoristas no tiene que ver con la cantidad. 780.000 dólares no es mucho: el incidente de Kelp DAO de abril de este año ascendió a 292 millones de dólares. Lo que de verdad conviene recordar es cómo ocurrió. Se trató un contrato de retransmisión de acceso público como si fuera una autoridad autorizada y un valor temporal que no se había borrado permitió que la cadena de verificación se rompiera por la mitad. Si la puerta de la caja fuerte reconoce a la persona equivocada, da igual cuánto haya dentro: no podrá protegerlo. Al momento de escribir esto, zkLink aún no había publicado ningún comunicado, ni confirmado si había pausado el puente, y mucho menos anunciado un plan de compensación. Intentar retirar fondos a toda prisa ahora podría equivaler a volver a enviar dinero por una puerta que todavía no se ha cerrado.

Mi opinión es muy clara: si ocurre un incidente en un puente, primero hay que consultar los canales oficiales para confirmar si se ha pausado; no hay que adelantarse con los retiros. Si el puente no ha anunciado una pausa, mejor no depositar fondos ni interactuar con él por ahora. Si ya tienes activos allí, retirarlos en varios lotes es más prudente que hacerlo todo de una vez. Antes de retirar, consulta el aviso sobre la pausa.

¿Tienes activos bloqueados ahora mismo en algún puente cross-chain? ¿Cuándo fue la última vez que comprobaste su estado de pausa y los comunicados oficiales?

#BTC #跨链桥 #安全复盘 #zkLink #SeguridadDeFi

—— web3韭菜小凯
Este contenido recopila información pública y no constituye asesoramiento de inversión. Las cantidades mencionadas se basan en los registros públicos de Blockaid, SlowMist y Etherscan. Para información posterior del equipo del proyecto, consulta sus canales oficiales.