zkLink Nova 跨链桥遭攻击：伪造批处理根致超78万美元资产被盗

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

2026年10月28日，zkLink Nova以太坊跨链桥遭遇严重安全事件，一名攻击者利用其结算机制中的验证漏洞，成功发起欺诈性提款操作，造成价值约78.6万美元的加密资产被转移。此次攻击由区块链安全机构Blockaid发现并通报，核心手段为向公开可访问的中继器注入伪造的“批处理根”数据，绕过正常验证流程。

该恶意行为使攻击者得以从zkLink Nova在以太坊主网上的托管合约中，非法提取以太币（ETH）及多种ERC-20代币。尽管攻击发生后已触发警报，但相关交易仍在持续，完整财务影响仍在评估之中。

伪造批处理根如何绕过跨链验证

zkLink Nova的跨链架构依赖于多层验证机制，其中交易批次需在Linea网络完成确认，并将最终的根哈希通过中继器同步至以太坊等下游网络，作为提款授权依据。然而，攻击者利用公共中继器的开放性，插入虚假的批处理根信息，使得以太坊侧的智能合约误认为这些请求已通过合规验证。

这一漏洞暴露了跨链桥在信任链设计上的脆弱点——即便底层协议具备抗篡改能力，若中继环节缺乏严格身份验证，仍可能被恶意利用。目前，调查团队尚未找到管理员密钥泄露的证据，也未锁定攻击者身份，具体技术缺陷仍在深入分析中。

被盗资产明细与影响范围

据初步统计，本次攻击涉及多个资产类别，包括约22.43 ETH、11种ERC-20代币，以及总计约18,113 USDC和3,361 USDT。其中最大一笔转账为约245.74 pufETH，按当时市价折算约为61.35万美元，是此次损失的主要构成部分。

所有被盗资金均流向攻击者控制的钱包地址，总估值接近77.9万美元，基本覆盖了初始估算值。值得注意的是，此次事件并非孤立案例：2026年7月，Verus Ethereum Bridge曾因类似指令伪造导致754万美元损失；10月23日，Initia桥接系统也因MoveVM漏洞引发270万美元资产外流，反映出当前跨链基础设施普遍面临的安全挑战。

zkLink官方回应滞后，用户风险犹存

截至目前，zkLink官方尚未发布正式声明，未确认漏洞影响范围，也未说明受影响的桥接合约是否已暂停服务或是否启动紧急冻结机制。更关键的是，被盗资产是否可追回、补丁何时上线、恢复时间表等核心问题仍未明确。

持有zkLink Nova资产的用户正面临流动性不确定性，尤其是那些依赖该桥进行以太坊提款的参与者。在安全机制未重建前，继续使用该服务存在潜在风险。Blockaid最初将其定性为“正在进行中的攻击”，而最新公开信息未显示攻击已被遏制，表明风险仍在持续。