zkLink 遭攻擊涉及瞬態存儲漏洞，損失約 78.3 萬美元

ChainCatcher 消息，据慢雾安全團隊分析，跨鏈協議 zkLink 遭攻擊，損失約 78.3 萬美元。

攻擊者利用瞬態存儲中的殘留驗證值偽造提款驗證所需的批次根，隨後完成 12 次提款，包括 1 次 ETH 提款和 11 次 ERC-20 代幣提款。

攻擊者先通過一次真實跨鏈消息領取並寫入驗證值，再在同一筆交易的後續調用中重用該值，借助中繼及網關合約寫入偽造的批次根。

相關合約允許中繼者指定外部調用目標和參數，驗證值未被清除或綁定至當前調用；批次根更新僅校驗網關身份，缺少獨立證明驗證。