Naruszenie bezpieczeństwa protokołu cross-chain zkLink przez lukę w pamięci przejściowej; straty 783 tys. USD
Podsumowanie rynku AI
Strata zkLink wynosząca około 783 000 USD wynika z wady walidacji pamięci przejściowej (transient storage), w której ponownie użyte wartości przekaźnika sfałszowały korzenie batchy i umożliwiły dwanaście oszukańczych wypłat. Choć kwota w dolarach jest nieistotna dla szerszej płynności rynkowej, wzmacnia ona utrzymujące się ryzyko związane z inteligentnymi kontraktami i mostami międzyłańcuchowymi, powracający problem zarządzania i bezpieczeństwa, który podtrzymuje defensywne pozycjonowanie w DeFi i marginalne nastroje risk-off wobec aktywów kryptowalutowych w krótkim terminie.
Wpływ
● Niski
Aktywa, których dotyczy
BTC/USDT+1.25%
Analiza AI · BTC/USDTAnaliza AI
▼ Spadkowy
Handluj teraz
⚠️ Analizy generowane przez AI opierają się na treściach z wiadomości i mają charakter informacyjny. Nie stanowią porady inwestycyjnej ani nie odzwierciedlają poglądów BingX. Inwestowanie wiąże się z ryzykiem. Handluj odpowiedzialnie.
Huo Xing Cai Jing, powołując się na analizę zespołu SlowMist Security, informuje o naruszeniu bezpieczeństwa protokołu crosschainowego zkLink. Straty szacuje się na około 783 tys. USD.
Sprawca wykorzystał pozostawione w pamięci przejściowej wartości walidacyjne, aby sfałszować korzenie batchy wymagane do weryfikacji wypłat. Następnie przeprowadził 12 wypłat: jedną w ETH i jedenaście w tokenach ERC20.
Najpierw uzyskał i zapisał prawidłową wartość walidacyjną poprzez rzeczywistą wiadomość crosschain, a następnie wykorzystał ją ponownie w kolejnych wywołaniach w ramach tej samej transakcji. W tym celu posłużył się kontraktami relay i gateway, aby wstrzyknąć sfałszowany korzeń batcha. Odpowiednie kontrakty pozwalały relayerom określać cele i parametry wywołań zewnętrznych, ale wartość walidacyjna nie była czyszczona ani powiązana z bieżącym wywołaniem. Aktualizacje korzenia batcha weryfikowały wyłącznie tożsamość gateway, nie wymagając niezależnego dowodu walidacji.
