Кросчейн-протокол zkLink зламано через уразливість тимчасового сховища — втрати $783 000
Ринкове зведення ШІ
Втрата zkLink у розмірі приблизно $783,000 походить від вади валідації transient storage, коли повторно використані значення relay сфальсифікували корені батчів і уможливили дванадцять шахрайських виведень. Хоча ця сума в доларах не має істотного значення для ширшої ринкової ліквідності, вона посилює збережуваний ризик смарт-контрактів і кроссчейн-мостів — повторювану проблему управління та безпеки, яка підтримує захисне позиціонування в DeFi та маргінальні ризик-офф настрої щодо криптоактивів у короткостроковій перспективі.
Рівень впливу
● Низький
Активи, яких стосується
BTC/USDT+0.53%
Інсайт ШІ · BTC/USDTІнсайт ШІ
▼ Ведмежий
Торгувати
⚠️ Інсайти, згенеровані ШІ, ґрунтуються на новинних матеріалах і надаються виключно з інформаційною метою. Вони не є інвестиційною порадою та не відображають поглядів BingX. Інвестування пов’язане з ризиком. Будь ласка, торгуйте відповідально.
Huo Xing Cai Jing повідомляє: за аналізом команди SlowMist Security, кросчейн-протокол zkLink зазнав злому з втратами приблизно $783 000. Атакувальник використав залишкові значення валідації в transient storage, щоб підробити batch root для перевірки виведення коштів. Далі він провів 12 виведень: одне в ETH та одинадцять у токенах ERC20. Спершу зловмисник отримав і записав легітимне значення валідації через справжнє кросчейн-повідомлення, після чого повторно застосував його в наступних викликах у межах тієї самої транзакції. За допомогою контрактів relay і gateway він вставив підроблений batch root. Відповідні контракти дозволяли релеєрам визначати зовнішні цілі викликів і параметри. Значення валідації не очищалося й не прив’язувалося до поточного виклику. Оновлення batch root перевіряли лише ідентичність gateway без незалежного підтвердження валідації.
