Кроссчейн-протокол zkLink взломан через уязвимость transient storage, убытки составили $783 000
Сводка рынка от ИИ
Убыток zkLink в размере примерно $783 000 вызван дефектом валидации временного хранилища, из-за которого повторно использованные значения relay позволили подделать корни батчей и осуществить двенадцать мошеннических выводов средств. Хотя эта сумма в долларах несущественна для более широкой рыночной ликвидности, она усиливает сохраняющийся риск, связанный со смарт-контрактами и кросс-чейн-мостами, — повторяющуюся проблему управления и безопасности, которая поддерживает защитное позиционирование в DeFi и незначительный риск-офф-настрой в отношении криптоактивов в ближайшей перспективе.
Степень влияния
● Низкий
Затронутые активы
BTC/USDT+0.51%
Инсайт ИИ · BTC/USDTИнсайт ИИ
▼ Медвежий
Торговать
⚠️ Инсайты, сгенерированные ИИ, основаны на новостном контенте и предоставляются исключительно в информационных целях. Они не являются инвестиционной рекомендацией и не отражают позицию BingX. Торговля сопряжена с риском. Пожалуйста, торгуйте ответственно.
Huo Xing Cai Jing со ссылкой на анализ SlowMist Security Team сообщает, что кроссчейн-протокол zkLink был взломан, а убытки составили около $783 000. Злоумышленник использовал остаточные значения валидации в transient storage, чтобы подделать batch root, необходимые для проверки выводов. Он совершил 12 выводов: один в ETH и одиннадцать в токенах ERC20. Сначала атакующий получил легитимное значение валидации через реальное кроссчейн-сообщение и записал его, затем повторно использовал это значение в последующих вызовах в рамках той же транзакции, задействовав контракты relay и gateway для внедрения поддельного batch root. Контракты позволяли релеерам указывать внешние цели и параметры вызовов, но значение валидации не очищалось и не привязывалось к текущему вызову. Обновление batch root проверяло только идентичность gateway и не требовало независимого подтверждения валидации.
