zklink

🚨 Le bridge Ethereum de zkLink Nova aurait perdu environ 786 000 $ — et le problème majeur n’était pas le cours des tokens

Selon Blockaid, un attaquant a utilisé un relayer public pour injecter une racine de lot falsifiée, puis a finalisé des retraits non autorisés d’ETH et de tokens ERC-20 à partir des réserves du bridge

$ETH

🔍 Une racine de lot est censée authentifier l’historique des transactions avant la libération des actifs
Si le bridge accepte une racine falsifiée, les preuves de retrait peuvent sembler valides au regard d’un historique qui n’a jamais existé légitimement
C’est là que réside le danger
Des actifs réels peuvent quitter le dépôt fiduciaire sans retrait légitime correspondant de l’autre côté


⚠️ Dans son alerte initiale, Blockaid a décrit l’attaque comme étant en cours, mais le confinement de l’incident et les pertes finales restent à confirmer

📌 Si vous utilisez le bridge de zkLink Nova, vérifiez les communications officielles sur la sécurité avant d’effectuer de nouveaux transferts
Il s’agit d’un avertissement concernant la vérification des messages inter-chaînes — et non d’une preuve qu’Ethereum ou la cryptographie à divulgation nulle de connaissance elle-même a été compromise $ETH


#zkLink #Ethereum

Le pont inter-chaînes zkLink est suspendu ! L’attaquant peut toucher une prime s’il restitue les fonds !

Le pont inter-chaînes zkLink vient d’être piraté ! Le service est suspendu et les retraits sont également désactivés. Mais pas de panique : l’attaquant peut obtenir une prime de 20 % en restituant les fonds ! Les pertes s’élèvent à environ 786 000 dollars, il faut les récupérer au plus vite ! #zkLink #跨链桥攻击 #PrimeChapeauBlanc

Le pont inter-chaînes zkLink suspend ses services : une prime de 20 % pour que l’attaquant restitue les fonds

Le pont inter-chaînes zkLink a été attaqué. Les services sont suspendus et les retraits désactivés. zkLink propose à l’attaquant une prime de bug bounty de 20 % s’il restitue les fonds. Les pertes s’élèvent à 786 000 dollars. Nous suivons les mouvements des fonds sans relâche.#zkLink #跨链桥攻击 #SuiviDesFonds

zkLink confirme officiellement que le bridge inter-chaînes Nova est toujours attaqué et offre une prime de 20 % aux hackers éthiques pour restituer les fonds

Selon des informations de KuCoin, relayant Odaily et ME News, dans la soirée du 29 octobre, heure de Pékin, zkLink a confirmé dans une publication sur X que les contrats Arbitrator de zkLink Nova sur Ethereum et Optimism continuaient d’être attaqués. L’équipe technique s’efforce de limiter les dégâts. Le projet appelle l’attaquant à cesser immédiatement toute nouvelle exploitation des contrats zkLink Nova sur toutes les chaînes et à restituer les fonds. En échange de leur restitution et de sa coopération, l’attaquant pourra recevoir une prime de 20 % pour la divulgation de la vulnérabilité, sans faire l’objet de poursuites.

À retenir :
- L’attaque est toujours en cours : il ne s’agit pas du rappel d’un ancien incident ponctuel. Le projet a confirmé ce soir que l’attaque n’avait pas cessé et qu’elle visait les contrats Arbitrator sur Ethereum et Optimism.
- Les pertes s’élèveraient à environ 780 000 dollars : selon la société de surveillance Blockaid, l’attaquant a injecté une fausse racine de lot (batch root) par l’intermédiaire d’un relais public, puis a retiré des ETH et des actifs ERC-20 du contrat de garde L1 de zkLink Nova sur Ethereum. SlowMist estime les pertes à environ 783 100 dollars, dont la plus grande part correspond à environ 245,74 pufETH (soit environ 615 000 dollars).
- La cause a été révélée : selon l’analyse de SlowMist, la fonction claimMessage du contrat Arbitrator n’effaçait pas temporairement finalizeMessageHash et n’exigeait pas de nouveau rappel d’authentification à chaque appel. L’attaquant a exploité ces failles pour falsifier une racine de lot et effectuer des retraits.
- Conséquences possibles : un incident de sécurité touchant un bridge inter-chaînes porte directement atteinte à la confiance des utilisateurs envers le bridge et les actifs associés, ce qui est à court terme défavorable au ZKL. Plus important encore, l’attaque est « toujours en cours » : tant que le projet n’aura pas annoncé que la situation est sous contrôle, les risques liés aux interactions avec les contrats de Nova ne seront pas écartés.

Mon avis : je suis à court terme plutôt pessimiste concernant le $ZKL, car l’attaque se poursuit et le projet n’a pas encore annoncé que la faille était corrigée. Le rétablissement de la confiance prendra du temps, et les investisseurs ont des raisons de se mettre à l’écart pour le moment.

Sources : publication de zkLink sur X, relayée par KuCoin, Odaily et ME News ; surveillance et analyses des pertes et de leur cause par Blockaid et SlowMist.

#跨链桥安全 #zkLink #黑客攻击

Est-ce qu’une seule attaque contre un bridge vous suffirait pour blacklister définitivement un projet, ou attendriez-vous la correction et l’audit avant de vous prononcer ? Dites-nous ce que vous en pensez dans les commentaires et cliquez sur le tag pour consulter les cours en temps réel. À titre informatif uniquement ; ceci ne constitue pas un conseil en investissement.

【Flash info marché】Le pont inter-chaînes de zkLink Nova a été attaqué, environ 786 000 dollars dérobés
L’attaquant a injecté une fausse racine de lot sur Ethereum via un relais public, puis a retiré de l’ETH et des jetons ERC-20 du contrat de garde de couche 1 de zkLink Nova. Selon Blockaid, environ 786 000 dollars ont été dérobés et l’attaque est toujours en cours.
Un des transferts s’élève à 778 625,84 dollars et comprend 22,43 ETH ainsi que 11 jetons. Le plus important concerne 245,74 pufETH, soit environ 613 500 dollars. Il ne reste qu’environ 0,001 ETH dans le contrat de garde, et le mécanisme de suspension n’a pas été activé.
#币安广场 #zkLink
（Source : Cryptopolitan）

🚨 Piratage de zkLink Nova : son pont a été compromis et une récompense de 20 % est offerte à l’attaquant.

zkLink Nova — un réseau de couche 3 (Layer 3) conçu pour connecter et partager la liquidité entre différentes blockchains de $ETH Ethereum — a confirmé une attaque directe contre les contrats de son pont. La société de cybersécurité SlowMist estime les pertes à près de 783.100 dollars.
L’attaquant a exploité une faille de validation dans le contrat pour retirer les fonds. Afin d’éviter de plus gros dégâts, l’équipe a առաջարկé une récompense de 20 % en tant que hacker éthique (white hat) s’il rend l’argent volé, promettant de ne pas engager d’actions en justice.

Pensez-vous que ces récompenses sont suffisantes pour qu’ils rendent les fonds, ou est-ce que cela met les protocoles dans une mauvaise posture ?

#zkLink #SeguridadCripto

【Flash marché】Une transaction a permis de retirer 779 000 dollars : le pont zkLink Nova aurait falsifié une racine de lot. L’attaquant a effectué un retrait non autorisé, tandis que le contrat de conservation principal n’a toujours pas été suspendu après coup.
La défense n’a pas été percée, elle a été « dupée » : si la racine de lot peut être falsifiée, le retrait devient une simple formalité.
L’alerte a été lancée, mais le bouton de suspension n’a toujours pas été actionné. Cette période de latence constitue la véritable exposition au risque.
Oseriez-vous encore laisser vos actifs à long terme sur un pont inter-chaînes ?
$ZKL $ETH $BTC
#zkLink #跨链桥安全 #Attaque de hackers
(Source : The Defiant)
⚠️Avertissement sur les risques : les informations ci-dessus sont partagées à titre informatif sur le marché et ne constituent pas un conseil en investissement. Tout investissement comporte des risques ; la prudence est de mise avant d’entrer sur le marché.

Le pont cross-chain de zkLink Nova a été piraté hier soir : un faux justificatif de lot a permis de dérober environ 780 000 dollars

Le 28 octobre à 22 h 21 UTC, une transaction a retiré environ 780 000 dollars du contrat de garde Ethereum de zkLink Nova — il était 6 h 21 ce matin à Pékin. Blockaid a donné l’alerte en premier, indiquant que l’attaque était toujours en cours et que le contrat principal de garde n’avait pas encore été mis en pause. SlowMist estime le montant dérobé à environ 783 100 dollars.

zkLink Nova est un réseau de couche 3 d’agrégation, dont le règlement final s’effectue sur Ethereum. Lorsqu’un utilisateur retire des fonds de Nova vers Ethereum, le contrat de garde doit d’abord vérifier un justificatif appelé « batch root », qui sert en quelque sorte d’empreinte d’un lot de transactions. Le contrat ne donne son feu vert que si cette empreinte est valide. Le problème était de savoir qui pouvait inscrire une empreinte dans le contrat.

L’analyse de SlowMist pointe la fonction claimMessage du contrat Arbitrator. Celle-ci n’effaçait pas la valeur une fois finalizeMessageHash utilisé et n’exigeait pas une nouvelle authentification à chaque rappel. L’attaquant a d’abord chargé un hachage valide dans un contrat relais que n’importe qui pouvait appeler, puis a changé la cible pour la passerelle Ethereum, faisant ainsi apparaître l’étape de synchronisation du batch root comme si elle provenait de la passerelle légitime. Une fois l’identité usurpée, le faux root du lot n° 116409 a été inscrit dans le contrat. Toutes les preuves de retrait soumises par l’attaquant correspondaient, et le contrat de garde a tout autorisé. L’opération entière s’est déroulée en une seule transaction, au bloc 26294188.

Au total, 12 types de jetons ont été retirés. La plus grosse part était constituée de pufETH de Puffer : 245,74 jetons, d’une valeur d’environ 615 000 dollars, soit près de 80 % du total. Le reste comprenait 22,43 ETH, 12,57 ezETH, 18 113 USDC et de petites quantités d’autres jetons. En moins d’une heure, l’attaquant avait déjà échangé 123,26 ETH sur Curve, puis transféré environ 303 ETH vers trois adresses en trois transactions. Une autre adresse liée à l’attaque a ensuite retiré environ 216,4 millions de ZKL via le même pont, soit quelque 42 000 dollars.

La leçon pour les petits investisseurs ne tient pas au montant. 780 000 dollars, ce n’est pas énorme : en avril dernier, l’incident de Kelp DAO avait coûté 292 millions de dollars. Ce qu’il faut vraiment retenir, c’est le chemin suivi par l’attaque. Un contrat relais accessible à tous a été traité comme une autorité habilitée ; une valeur temporaire qui n’avait pas été correctement effacée a suffi à rompre la chaîne de vérification en son milieu. Si le système se trompe sur l’identité de la personne à qui il ouvre la porte, peu importe la quantité d’actifs à l’intérieur : rien ne pourra les retenir. Au moment où j’écris ces lignes, zkLink n’a pas encore publié de déclaration, n’a pas confirmé la mise en pause du pont et n’a pas annoncé de plan d’indemnisation. Se précipiter pour retirer ses fonds maintenant pourrait revenir à en envoyer davantage par une porte qui n’est pas encore fermée.

Mon avis est simple : quand un pont est touché, commencez par vérifier sur les comptes officiels les annonces de mise en pause et ne vous précipitez pas pour retirer vos fonds. Tant qu’aucune annonce de mise en pause n’a été publiée, évitez d’y déposer de nouveaux fonds et ne vous empressez pas d’interagir avec le pont. Si vous y détenez déjà des actifs, mieux vaut les retirer par étapes plutôt que tout d’un coup, et vérifier les consignes de mise en pause avant tout retrait.

Avez-vous encore des actifs bloqués sur un pont cross-chain ? Quand avez-vous vérifié pour la dernière fois son statut de mise en pause et ses annonces officielles ?

#BTC #跨链桥 #安全复盘 #zkLink #SécuritéDeFi

—— Xiaokai, petit investisseur Web3
Ce contenu est une compilation d’informations publiques et ne constitue pas un conseil en investissement. Les montants mentionnés se fondent sur les informations publiques de Blockaid, SlowMist et Etherscan ; pour les annonces ultérieures du projet, veuillez vous référer à ses canaux officiels.