zkLink vient encore d’être décortiqué par SlowMist
L’incident aurait eu lieu vers le 29 octobre
Pertes estimées à environ 783 000 dollars
12 retraits
1 en ETH et 11 en ERC-20
La méthode n’a rien de sophistiqué
D’abord, envoyer un véritable message inter-chaînes
Écrire la valeur de validation dans le stockage transitoire
Puis réutiliser cette valeur résiduelle lors d’un appel ultérieur de la même transaction
Forger la racine du lot
Et retirer les fonds du contrat de garde sur L1
Le problème vient de la validation
La valeur de validation n’a pas été effacée et n’était pas liée à l’appel en cours
La mise à jour de la racine du lot vérifiait uniquement l’identité de la passerelle
Aucune preuve indépendante
Les incidents de ponts inter-chaînes sont fréquents ces derniers temps
Autorisations, DNS, stockage transitoire
Chaque couche peut être compromise
Pour les fonds placés sur un pont
Ne partez pas du principe qu’un « contrat officiel est forcément sûr »
$ETH $BNB
#zkLink #慢雾 #Sécuritéinter-chaînes
L’incident aurait eu lieu vers le 29 octobre
Pertes estimées à environ 783 000 dollars
12 retraits
1 en ETH et 11 en ERC-20
La méthode n’a rien de sophistiqué
D’abord, envoyer un véritable message inter-chaînes
Écrire la valeur de validation dans le stockage transitoire
Puis réutiliser cette valeur résiduelle lors d’un appel ultérieur de la même transaction
Forger la racine du lot
Et retirer les fonds du contrat de garde sur L1
Le problème vient de la validation
La valeur de validation n’a pas été effacée et n’était pas liée à l’appel en cours
La mise à jour de la racine du lot vérifiait uniquement l’identité de la passerelle
Aucune preuve indépendante
Les incidents de ponts inter-chaînes sont fréquents ces derniers temps
Autorisations, DNS, stockage transitoire
Chaque couche peut être compromise
Pour les fonds placés sur un pont
Ne partez pas du principe qu’un « contrat officiel est forcément sûr »
$ETH $BNB
#zkLink #慢雾 #Sécuritéinter-chaînes