zklink

zkLink 跨链桥暂停服务了！攻击者归还资金还能拿赏金！

刚刚，zkLink 跨链桥被黑了！暂停服务，提款也关闭了。但是，别怕，向攻击者归还资金还能拿到20%的白帽赏金哦！约78.6万美元的损失，得赶紧追回！#zkLink #跨链桥攻击 #白帽赏金

zkLink 跨链桥暂停服务，赏金20%催攻击者归还资金

zkLink 跨链桥遭遇攻击，暂停服务并关闭提款。对攻击者，zkLink 提出归还资金可获20%白帽赏金的条件，损失高达78.6万美元。资金追踪，我们一直在行动。#zkLink #跨链桥攻击 #资金追踪派

zkLink confirme officiellement que le bridge inter-chaînes Nova est toujours attaqué et offre une prime de 20 % aux hackers éthiques pour restituer les fonds

Selon des informations de KuCoin, relayant Odaily et ME News, dans la soirée du 29 octobre, heure de Pékin, zkLink a confirmé dans une publication sur X que les contrats Arbitrator de zkLink Nova sur Ethereum et Optimism continuaient d’être attaqués. L’équipe technique s’efforce de limiter les dégâts. Le projet appelle l’attaquant à cesser immédiatement toute nouvelle exploitation des contrats zkLink Nova sur toutes les chaînes et à restituer les fonds. En échange de leur restitution et de sa coopération, l’attaquant pourra recevoir une prime de 20 % pour la divulgation de la vulnérabilité, sans faire l’objet de poursuites.

À retenir :
- L’attaque est toujours en cours : il ne s’agit pas du rappel d’un ancien incident ponctuel. Le projet a confirmé ce soir que l’attaque n’avait pas cessé et qu’elle visait les contrats Arbitrator sur Ethereum et Optimism.
- Les pertes s’élèveraient à environ 780 000 dollars : selon la société de surveillance Blockaid, l’attaquant a injecté une fausse racine de lot (batch root) par l’intermédiaire d’un relais public, puis a retiré des ETH et des actifs ERC-20 du contrat de garde L1 de zkLink Nova sur Ethereum. SlowMist estime les pertes à environ 783 100 dollars, dont la plus grande part correspond à environ 245,74 pufETH (soit environ 615 000 dollars).
- La cause a été révélée : selon l’analyse de SlowMist, la fonction claimMessage du contrat Arbitrator n’effaçait pas temporairement finalizeMessageHash et n’exigeait pas de nouveau rappel d’authentification à chaque appel. L’attaquant a exploité ces failles pour falsifier une racine de lot et effectuer des retraits.
- Conséquences possibles : un incident de sécurité touchant un bridge inter-chaînes porte directement atteinte à la confiance des utilisateurs envers le bridge et les actifs associés, ce qui est à court terme défavorable au ZKL. Plus important encore, l’attaque est « toujours en cours » : tant que le projet n’aura pas annoncé que la situation est sous contrôle, les risques liés aux interactions avec les contrats de Nova ne seront pas écartés.

Mon avis : je suis à court terme plutôt pessimiste concernant le $ZKL, car l’attaque se poursuit et le projet n’a pas encore annoncé que la faille était corrigée. Le rétablissement de la confiance prendra du temps, et les investisseurs ont des raisons de se mettre à l’écart pour le moment.

Sources : publication de zkLink sur X, relayée par KuCoin, Odaily et ME News ; surveillance et analyses des pertes et de leur cause par Blockaid et SlowMist.

#跨链桥安全 #zkLink #黑客攻击

Est-ce qu’une seule attaque contre un bridge vous suffirait pour blacklister définitivement un projet, ou attendriez-vous la correction et l’audit avant de vous prononcer ? Dites-nous ce que vous en pensez dans les commentaires et cliquez sur le tag pour consulter les cours en temps réel. À titre informatif uniquement ; ceci ne constitue pas un conseil en investissement.

【市场快讯】zkLink Nova跨链桥遭攻击，约78.6万美元被盗
攻击者通过公开中继器向以太坊注入伪造批次根，从zkLink Nova一层托管合约提走ETH和ERC-20代币。Blockaid称被盗约78.6万美元，攻击仍在进行。
其中一笔转出778,625.84美元，含22.43枚ETH和11种代币，最大一笔245.74枚pufETH约61.35万美元。托管合约仅剩约0.001枚ETH，暂停标志未设置。
#币安广场 #zkLink
（来源：Cryptopolitan）

🚨 Le bridge Ethereum de zkLink Nova aurait perdu environ 786 000 $ — et le problème majeur n’était pas le cours des tokens

Selon Blockaid, un attaquant a utilisé un relayer public pour injecter une racine de lot falsifiée, puis a finalisé des retraits non autorisés d’ETH et de tokens ERC-20 à partir des réserves du bridge

$ETH

🔍 Une racine de lot est censée authentifier l’historique des transactions avant la libération des actifs
Si le bridge accepte une racine falsifiée, les preuves de retrait peuvent sembler valides au regard d’un historique qui n’a jamais existé légitimement
C’est là que réside le danger
Des actifs réels peuvent quitter le dépôt fiduciaire sans retrait légitime correspondant de l’autre côté


⚠️ Dans son alerte initiale, Blockaid a décrit l’attaque comme étant en cours, mais le confinement de l’incident et les pertes finales restent à confirmer

📌 Si vous utilisez le bridge de zkLink Nova, vérifiez les communications officielles sur la sécurité avant d’effectuer de nouveaux transferts
Il s’agit d’un avertissement concernant la vérification des messages inter-chaînes — et non d’une preuve qu’Ethereum ou la cryptographie à divulgation nulle de connaissance elle-même a été compromise $ETH


#zkLink #Ethereum

🚨 Piratage de zkLink Nova : son pont a été compromis et une récompense de 20 % est offerte à l’attaquant.

zkLink Nova — un réseau de couche 3 (Layer 3) conçu pour connecter et partager la liquidité entre différentes blockchains de $ETH Ethereum — a confirmé une attaque directe contre les contrats de son pont. La société de cybersécurité SlowMist estime les pertes à près de 783.100 dollars.
L’attaquant a exploité une faille de validation dans le contrat pour retirer les fonds. Afin d’éviter de plus gros dégâts, l’équipe a առաջարկé une récompense de 20 % en tant que hacker éthique (white hat) s’il rend l’argent volé, promettant de ne pas engager d’actions en justice.

Pensez-vous que ces récompenses sont suffisantes pour qu’ils rendent les fonds, ou est-ce que cela met les protocoles dans une mauvaise posture ?

#zkLink #SeguridadCripto

【市场快讯】一笔交易提走77.9万美元：zkLink Nova桥被曝伪造批次根，攻击者完成未经授权提款，主托管合约事后仍未暂停。
防线不是被攻破，是被“骗过去”了：批次根能伪造，提款就成了走流程。
警告已出，暂停键还没按下，这段空窗期才是真正的风险敞口。
你还敢把资产长期放跨链桥里吗？
$ZKL $ETH $BTC
#zkLink #跨链桥安全 #黑客攻击
（来源：The Defiant）
⚠️风险提示：以上为市场信息分享，不构成投资建议；投资有风险，入市需谨慎。

zkLink Nova 跨链桥昨晚被黑，一张伪造的批次凭证放走了约78万美元

10月28日UTC 22点21分，一笔交易从 zkLink Nova 以太坊托管合约里提走了约78万美元，北京时间今早6点21分。Blockaid 先报警，说攻击还在进行，主托管合约当时还没有暂停。慢雾拆解估算约78.31万美元。

zkLink Nova 是聚合型三层网络，最终结算到以太坊。用户从 Nova 提回以太坊，托管合约要先核对一张叫 batch root 的凭证，相当于一批交易的指纹，合约认它才放行。问题出在谁能往合约里写指纹。

慢雾的拆解指向 Arbitrator 合约里的 claimMessage 函数。它用完 finalizeMessageHash 没清掉，也没要求每次回调都新鲜认证。攻击者先用一个任何人都能调的中继合约装进合法哈希，再把目标换成以太坊网关，让同步 batch root 这一步看起来来自合法网关。身份一冒充成功，第116409批的假 root 就进了合约，他提交的提款证明全部对得上，托管合约一路放行，整件事在一笔交易里完成，区块号是26294188。

被提走的一共12种。最大头是 Puffer 的 pufETH，245.74枚约61.5万美元，占近八成。其余是22.43枚 ETH、12.57枚 ezETH、18113枚 USDC，以及少量其他代币。不到一小时，攻击者已在 Curve 换了123.26枚 ETH，随后分三笔把约303枚 ETH 转到三个地址。另一攻击地址后来又从同桥提走了约2.164亿枚 ZKL，约4.2万美元。

这事对散户的提醒不在金额。78万美元不算大，今年4月 Kelp DAO 那次是2.92亿美元。真正值得记住的是路径。公开可调的中继合约被当成授权方，一次没清干净的临时值，就让验证链条从中间断了。钱袋口认错了人，里面的资产多少都拦不住。写稿时 zkLink 还没有公开声明，没有确认是否暂停，更没有赔付方案。这时抢提款，可能是往还没关上的门里再送一次。

我的看法很直接。桥出事，先去官方账号确认暂停说明，别抢跑提款。没有暂停公告的桥，先别新存，也别急着交互。已有资产在里面的，分批比一次全提更稳，提之前先看暂停说明。

你现在还有资产锁在哪个跨链桥里，上次检查它的暂停状态和官方说明是什么时候？

#BTC #跨链桥 #安全复盘 #zkLink #DeFi安全

—— web3韭菜小凯
内容仅为公开信息整理，不构成投资建议，提到的金额以 Blockaid、慢雾及 Etherscan 公开记录为准，项目方后续说明以官方渠道为准。