Un attaccante ha svuotato circa 779.000 dollari dai contratti Ethereum del bridge di zkLink Nova blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il 28 ottobre, con una sola transazione confermata alle 22:21 UTC. Secondo la società di sicurezza Blockaid, che ha lanciato l’allarme circa quattro ore dopo, l’autore ha inserito su Ethereum una batch root falsificata tramite un relayer pubblico e ha poi finalizzato prelievi di ETH e token verso un indirizzo scelto da lui. zkLink si è espresso alle 09:06 UTC del 29 ottobre: ha parlato di un exploit «in corso» e ha offerto all’attaccante una ricompensa del 20% per restituire i fondi.
La transazione su Etherscan mostra due contratti che pagano nello stesso momento. Quello che Etherscan etichetta «zkLink Nova: zkLink contract», dove sono custoditi gli ETH, ha inviato 22,43 ETH. Il contratto «zkLink Nova: ERC20 Bridge» ha inviato 11 token diversi. Tutto è finito nello stesso portafoglio, quello che aveva firmato la transazione. Cryptopolitan, usando i prezzi di Etherscan, ha stimato il prelievo complessivo in 778.625,84 dollari.
Le stime della perdita differiscono di qualche migliaio di dollari, soprattutto perché ogni fonte ha valutato i token in un momento diverso. Blockaid ha dato una cifra provvisoria di circa 786.000 dollari e ha descritto l’attacco come ancora in corso. Il database degli hack di DefiLlama, consultato verso le 11:55 UTC del 29 ottobre, riporta 783.100 dollari. zkLink non ha indicato nessuna cifra.
Cosa è uscito dal bridge di zkLink Nova, token per token
Più di tre quarti della perdita sono concentrati in un solo asset: pufETH, il token di liquid restaking emesso da Puffer. Il resto è un insieme di altri token di restaking e staking, due stablecoin e un po’ di bitcoin wrapped.
| Asset | Quantità inviata | Da |
|---|---|---|
| pufETH | 245,74 | Bridge ERC-20 |
| ETH | 22,43 | Contratto zkLink (deposito di ETH) |
| USDC | 18.113,45 | Bridge ERC-20 |
| USDT | 3.360,90 | Bridge ERC-20 |
| ezETH | 12,57 | Bridge ERC-20 |
| rsETH | 6,87 | Bridge ERC-20 |
| STONE | 6,30 | Bridge ERC-20 |
| mstETH | 2,64 | Bridge ERC-20 |
| mswETH | 2,48 | Bridge ERC-20 |
| rswETH | 0,50 | Bridge ERC-20 |
| wstETH | 0,47 | Bridge ERC-20 |
| WBTC | 0,17 | Bridge ERC-20 |
Secondo Cryptopolitan, i soli pufETH valevano circa 613.500 dollari al prezzo di Etherscan. Gli ETH valevano circa 52.000 dollari al prezzo mostrato da Etherscan alle 11:58 UTC del 29 ottobre. Per chi detiene token come pufETH, ezETH o rsETH e vuole capire di cosa si tratta, la nostra guida al restaking e ai liquid restaking token spiega come vengono emessi e riscattati.
Come ha fatto una batch root falsa a passare, secondo Blockaid
Nova non si regola direttamente su Ethereum. Le transazioni vengono raggruppate in lotti, i lotti vengono verificati e una breve impronta di ciascuno, la batch root, viene inviata alle blockchain su cui gli utenti prelevano. Su Ethereum, i contratti che custodiscono gli asset depositati liberano un prelievo quando questo corrisponde a una root da loro accettata. TokenPost ha descritto questo schema nel suo resoconto dell’attacco.
Secondo la ricostruzione di Blockaid, riportata da Cryptopolitan e TokenPost, l’attaccante ha iniettato tramite un relayer pubblico una root che non corrispondeva a nessun lotto reale e l’ha poi usata per finalizzare prelievi dal deposito Ethereum di Nova verso «destinatari a sua scelta». I log della transazione sono coerenti con questa sequenza: un evento SyncBatchRoot, gli eventi del Linea L1 Message Service, poi gli eventi WithdrawalFinalized, tutto in una sola transazione costata circa 0,00116 ETH di commissioni.
La transazione non ha chiamato direttamente i contratti di zkLink. È passata per un contratto senza codice sorgente pubblicato, 0xD5f162B6…f3E6Aff07, che secondo Etherscan è stato distribuito dal portafoglio ricevente stesso alle 18:51 UTC, tre ore e mezza prima del prelievo. Quel contratto non ha effettuato nessun’altra transazione.
Ciò che la sintesi di Blockaid non spiega è il passaggio decisivo. Nessuno ha detto pubblicamente come una root falsa abbia superato i controlli del contratto. Il post di zkLink indica come bersaglio un terzo elemento, il suo contratto «Arbitrator» su Ethereum e Optimism, senza dire cosa non abbia funzionato. Nessun media ha riportato prove di chiavi amministrative rubate. DefiLlama classifica l’incidente come «Cross-Chain Message Spoofing», una classificazione, non una conclusione.
Lo schema è noto. All’inizio del mese NEAR Intents ha pubblicato il postmortem di un bug che ha permesso a una falsa notifica di deposito di coniare 3,8 milioni di dollari di fondi fantasma: anche lì un sistema ha agito su un messaggio che avrebbe dovuto rifiutare. Il nostro approfondimento su come funzionano i bridge cross-chain e la messaggistica spiega da dove arrivano quei messaggi e chi dovrebbe controllarli.
Dove sono finiti i soldi nei primi 40 minuti
Coindaro ha letto la cronologia del portafoglio ricevente su Etherscan verso le 11:55 UTC del 29 ottobre. I primi ETH, 0,027 ETH, sono arrivati alle 15:49 UTC del 28 ottobre da un indirizzo che Etherscan etichetta «FixedFloat: Hot Wallet 2». FixedFloat è un servizio di scambio istantaneo; l’etichetta è il tag di Etherscan per quell’indirizzo e da sola non dice nulla su chi abbia acquistato gli ETH. Alle 16:01 UTC il portafoglio ha depositato 1 USDC nel bridge ERC-20 di Nova. Alle 17:49 UTC ha inviato un messaggio tramite il Message Service di Linea e alle 18:51 ha distribuito il contratto usato nell’attacco.
La conversione è iniziata tre minuti dopo il prelievo. Alle 22:24 UTC il portafoglio ha riscattato 132 pufETH tramite Puffer ottenendo 141,95 ETH wrapped, e alle 22:28 ha venduto gli altri 113,73 pufETH su Curve per 123,26 ETH. USDC e WBTC sono stati scambiati su Curve per un totale di 32.157,74 DAI. Tra le 22:42 e le 22:44 UTC sono passati dal router di scambio di MetaMask altri cinque swap, che hanno trasformato rsETH, STONE, USDT, rswETH e proof of stake coin with a protocol that stakes it for you and issues a transferable token (such as Lido stETH or rETH) representing the deposit plus rewards, which you can use or sell while the coins stay staked.">wstETH in ETH.
Poi gli ETH sono usciti con tre trasferimenti nel giro di tre minuti. Al prezzo dell’ETH di 2.324 dollari registrato alle 11:46 UTC del 29 ottobre, i 303,06 ETH inviati valgono circa 704.000 dollari.
| Ora (UTC, 28 ott) | Inviato | A (abbreviato) |
|---|---|---|
| 22:55 | 12,57 ezETH | 0x211B4aeB…Fb7E09C6A |
| 22:58 | 101 ETH | 0x211B4aeB…Fb7E09C6A |
| 23:00 | 100 ETH | 0x2D5a8AAb…402BAfB0 |
| 23:01 | 102,06 ETH | 0x75Dcf339…b58Dc0F3 |
| 23:03 | 32.157,74 DAI | 0x75Dcf339…b58Dc0F3 |
Quando Blockaid ha pubblicato il suo allarme alle 02:24 UTC, il portafoglio era già quasi vuoto da più di tre ore. Al momento del nostro controllo conteneva ancora circa 11.000 dollari in mswETH e mstETH. Non abbiamo seguito oltre i tre portafogli di destinazione e nessun media ha riportato trasferimenti verso un mixer come Tornado Cash. Blockaid ha detto di aver individuato due indirizzi dell’attaccante, ma i media che hanno rilanciato il suo allarme non li hanno elencati, quindi non possiamo dire se coincidano con questi.
zkLink offre il 20% di ricompensa e parla di exploit in corso
La prima parola di zkLink è arrivata sul suo account X @zkLink_Official alle 09:06 UTC del 29 ottobre, quasi 11 ore dopo la transazione. Il team ha detto di aver individuato «un exploit in corso che prende di mira il contratto Arbitrator di zkLink Nova su Ethereum e Optimism» e che i suoi ingegneri stavano lavorando per contenerlo. Ha chiesto ai responsabili di fermarsi e restituire i fondi, offrendo una ricompensa white hat del 20% e assicurando che, in quel caso, non sarebbero state intraprese altre azioni.
Il post non dà né una cifra della perdita né una causa. Non dice se qualcosa sia stato sottratto su Optimism, se i contratti su Ethereum siano stati messi in pausa o se gli utenti che hanno trasferito asset tramite il bridge saranno rimborsati. La ricompensa è il doppio del 10% che il team del bridge di Cysic aveva offerto al proprio exploiter all’inizio del mese; a quell’offerta era seguito, un giorno dopo, l’invio di 300 ETH a Tornado Cash da parte dell’exploiter.
I contratti hanno continuato a funzionare come prima. Cryptopolitan ha riferito che il flag di pausa del deposito di ETH indicava ancora «non in pausa» alle 02:29 UTC, con circa 0,001 ETH rimasti all’interno, e anche The Defiant ha scritto che il deposito risultava ancora non in pausa dopo l’allarme. Etherscan mostra due richieste di deposito di utenti nello stesso contratto andate a buon fine all’01:28 e alle 06:05 UTC del 29 ottobre; alle 11:58 UTC il contratto conteneva circa 0,62 ETH.
Alle 11:19 UTC un indirizzo che invia gli aggiornamenti dei lotti al deposito ha chiamato una funzione denominata «Open Range Batch Root Hash». Lo stesso indirizzo aveva eseguito la stessa chiamata ogni giorno dal 20 al 28 ottobre, quindi di per sé non indica un cambio di rotta.
Cos’è zkLink Nova e cosa era stato promesso ai detentori di ZKL
zkLink Nova è una rete di livello 3 costruita su Linea, a sua volta un layer 2 di Ethereum. È stata presentata come un aggregatore che avrebbe riunito in un unico luogo gli asset di diverse reti layer 2 di Ethereum. L2BEAT la classifica come validium: i dati delle transazioni non vengono pubblicati su Ethereum e un singolo sequencer rende disponibili le data root.
La mainnet è stata attivata l’11 marzo 2024 e la stagione di punti «Aggregation Parade» è partita tre giorni dopo, secondo un post sponsorizzato su The Block. Il team di zkLink ha poi dichiarato 1,05 miliardi di dollari di depositi in due mesi, una cifra che nessun tracker indipendente ha confermato. Il token ZKL ha un’offerta di 1 miliardo; la prima richiesta NovaDrop è stata aperta il 22 luglio 2024 alle 12:00 UTC con il 5% dell’offerta. Coindaro non ha trovato notizie di una reazione del prezzo di ZKL all’exploit.
Cosa possono controllare ora gli utenti del bridge di Nova
Il post di zkLink non contiene istruzioni per gli utenti, quindi quanto segue sono informazioni raccolte da Coindaro, non indicazioni del progetto. I due contratti Ethereum sono pubblici e chiunque può seguirli su Etherscan: il deposito di ETH all’indirizzo 0x5fD9F73286b7E8683Bab45019C94553b93e015Cf e il bridge ERC-20 all’indirizzo 0xAd16eDCF7DEB7e90096A259c81269d811544B6B6. Entrambi compaiono per nome nella transazione dell’attacco.
- Nello schema descritto da TokenPost, gli asset trasferiti su Nova sono coperti su Ethereum da quei due contratti. Ora che sono stati svuotati, resta aperta la questione di come verranno pagati i prelievi futuri, e zkLink non l’ha affrontata.
- Entro mezzogiorno UTC del 29 ottobre non era stata annunciata nessuna correzione del controllo sulle root, e il deposito accettava ancora richieste di deposito alle 06:05 UTC.
- Il post di zkLink delle 09:06 UTC non menziona nessun rimborso né procedura di richiesta. Le false pagine di «rimborso» e «claim» sono un seguito frequente degli hack ai bridge, quindi una pagina del genere non potrebbe derivare da quel post.
- Le cifre di questo articolo potrebbero cambiare: sia Blockaid sia zkLink hanno descritto l’attacco come in corso, e zkLink ha citato Optimism oltre a Ethereum.
Il prossimo punto di riferimento sarà una risposta dell’attaccante all’offerta di ricompensa, oppure il resoconto di zkLink su come la root falsa sia stata accettata. Fino ad allora, agli atti restano una transazione su Ethereum, la spiegazione che ne dà Blockaid e 303 ETH usciti dal portafoglio ricevente nel giro di 40 minuti.