zkLink Novaは約79.7万ドルの損失を被り、公式にブロック生成を一時停止しました。

ブロックチェーンセキュリティ機関 GoPlus の分析によると、10月29日、攻撃者は単一の取引を通じて、アグリゲート Layer2 ネットワーク zkLink Nova のイーサリアム L1 ホスティング契約から 22.43 ETH と 11 種類の ERC-20 トークンを引き出し、攻撃発生時の価格で計算した総価値は約 79.7 万ドルに達しました。

脆弱性は、Arbitrator 契約の claimMessage 関数が一時的に保存されたメッセージハッシュをクリアしなかったことに起因し、検証済みのメッセージが再利用可能となりました。攻撃者は公開呼び出し可能な認可リレー SyncL2TxHashRelayer を利用して L2 バッチルートを偽造し、虚偽の引き出しを実行しました。zkLink の公式は攻撃を確認し、Nova ネットワークのブロック生成を一時停止し、影響を受けた契約の緊急修正を行い、引き出しチャネルを一時的に閉鎖しました。今後、全面的なセキュリティチェックが行われる予定です。