zkLink Nova подвергся атаке, убытки составили около 797 тысяч долларов, официально приостановлено создание блоков

Согласно анализу блокчейн-безопасности GoPlus, 29 октября злоумышленник извлек 22.43 ETH и 11 токенов ERC-20 из хост-контракта Ethereum L1 сети zkLink Nova через одну транзакцию, общая стоимость которых на момент атаки составила около 797 тысяч долларов.

Уязвимость возникла из-за того, что функция claimMessage контракта Arbitrator не очищала временное хранилище хешей сообщений, что позволяло повторно использовать проверенные сообщения. Злоумышленник воспользовался публично доступным авторизованным ретранслятором SyncL2TxHashRelayer, подделав корень L2 пакета и выполнив ложный вывод средств. Официальный zkLink подтвердил факт атаки, приостановил создание блоков в сети Nova, экстренно исправил затронутые контракты и временно закрыл канал вывода средств, в дальнейшем будет проведена полная проверка безопасности.