慢雾分析 zkLink 遭攻击损失约 78.3 万美元，涉及瞬态存储漏洞
内容摘要
据慢雾安全团队分析，跨链协议 zkLink 于 10 月 29 日遭攻击，损失约 78.3 万美元。攻击者利用瞬态存储中的残留验证值，先通过一次真实跨链消息领取写入验证值，再在同一笔交易后续调用中复用该值，借助中继及网关合约写入伪造的批次根，随后完成 12 次提款，包括 1 次 ETH 提款和 11 次 ERC-20 代币提款。慢雾指出，相关合约允许中继者指定外部调用目标和参数，验证值未清除或绑定当前调用，批次根更新仅校验网关身份，缺少独立证明验证。
来源：深潮 TechFlow · Web3 资讯 · techflowpost.com
打开原文所属事件
zkLink Nova遭攻击后停机，慢雾公布攻击细节
zkLink Nova 在以太坊和 Optimism 上的 Arbitrator 合约遭持续攻击后，团队已暂停出块、紧急修复受影响合约并暂时关闭提款通道，待确认风险消除后再恢复服务，未给出时间表。Blockaid 统计损失约 78.6 万美元，慢雾估计约 78.31 万美元，zkLink 未确认两家机构说法。zkLink 提出全额归还资金者可保留 20% 白帽赏金且不再追责，并提供实质帮助信息者最高可获追回金额 20% 奖励。
最新变化：慢雾公布攻击细节：利用瞬态存储残留验证值伪造批次根，完成 12 次提款。
读懂这条消息
来自 Learn 的概念与核对方法，帮助理解新闻中的机制和口径。
跨链已扣款却未到账怎么查？来源交易、消息与目标回执
来源链交易成功不等于跨链到账。先确认桥和版本，再分别核对来源回执、消息或证明、目标交易、收款人及资产；消息可用也不代表目标已执行。本页以 CCTP 官方字段演示核验顺序，其他桥不能照搬其状态与费用规则。
怎样提交一份能继续排查的跨链记录？
记录桥／版本与转移类型／来源网络及 domain／来源交易和回执／消息标识与证明状态／目标网络及 domain／目标交易及回执／收款人／目标资产与数量／查询时间／卡住阶段。未知字段保留未知，钱包未显示图标不是资产未到账的充分证据。
参考依据：Circle：CCTP 跨链转移机制 ↗ · Circle CCTP 技术指南：消息、domain、nonce 与状态查询 ↗
稳定币供应增长等于资金流入吗？铸造、销毁与跨链要分开
稳定币单链供应增加不等于全市场新增资金，铸造也不自动证明风险资产买盘。先分清全链去重存量、单链分布和地址集合净流量，再核对铸造、销毁、桥接及在途消息。美元估值还受价格影响，本页给出迁移算例与记录方法。
阅读完整说明 →相关报道
同一消息的其他来源与事件进展；转载数量不等于独立核验。
同一事件的进展PANews
zkLink公布资金追回方案：全额归还者可保留20%白帽赏金并免于进一步追责
查看摘要与出处
zkLink发文称，针对近期影响zkLink Nova的安全事件，团队正设立悬赏计划以推动受影响资金追回。安全研究人员或白帽贡献者若提供对资金追回有实质帮助的信息，最高可获得追回金额20%的奖励，具体资格及金额由zkLink视信息价值决定；若漏洞利用者归还全部资金，可保留其中20%作为白帽赏金，zkLink承诺不就已归还资金采取进一步法律行动。相关沟通可通过zkLink官方X账号或邮箱进行。
核对原文 ↗同一事件的进展Unchained · 采访与独立报道
zkLink Nova 遭攻击被盗超 78 万美元后停机并关闭提币
查看摘要与出处
zkLink 团队称其 zkLink Nova 网络在桥接合约遭攻击、被盗超 78 万美元后停止出块，并已推送修复、临时关闭提币，称在确认风险消除前不会恢复服务，未给出时间表、损失数字和原因。团队承认攻击针对以太坊和 Optimism 上的 Arbitrator 合约，向攻击者提出 20% 白帽赏金并承诺归还资金后不再追责。Blockaid 称攻击者用公共 relayer 注入伪造的 batch root 完成提款，统计损失约 78.6 万美元；SlowMist 估计约 78.31 万美元，zkLink 未确认两家机构的说法。
核对原文 ↗同一事件的进展深潮 TechFlow · Web3 资讯
zkLink 以太坊跨链桥遭攻击，Blockaid 监测称已被盗约 78.6 万美元
查看摘要与出处
据链上安全公司 Blockaid 监测，zkLink 在以太坊上的跨链桥正遭遇攻击，攻击者通过公共中继器注入伪造批次根，从 zkLink Nova 的 L1 托管合约提取 ETH 和 ERC20 代币。截至目前已损失约 78.6 万美元，攻击仍未结束。Blockaid 已公布两个攻击者地址、示例交易及受害合约地址，其中一个地址余额约 1.1 万美元。
核对原文 ↗
以下按资产或主题关联，供比较阅读，属于不同消息。
同主题资料PANews
Circle 将 CCTP 跨链协议支持范围从 USDC 扩展至 ERC-20 代币
查看摘要与出处
PANews 消息，Circle 将允许其跨链传输协议 CCTP 支持除 USDC 之外的 ERC-20 代币。代币发行方可发行与 CCTP 兼容的新代币，或连接现有 ERC-20 代币，实现跨多条区块链转账。该模型在源链销毁代币，并在目标链铸造等量代币，Circle 还发布了在 Arc 区块链测试网上实现此功能的指南。
核对原文 ↗同主题资料深潮 TechFlow · Web3 资讯
以色列将涉嫌盗取 Nomad 280 万美元的嫌疑人引渡至美国
查看摘要与出处
据 Jerusalem Post 报道，以色列检察机关于 10 月 29 日将以色列—俄罗斯双重国籍公民亚历山大·布洛克引渡至美国，面对涉嫌从跨链桥 Nomad 盗取约 280 万美元数字资产的指控。美国检方称其于 2022 年 8 月 1 日利用 Nomad 验证机制漏洞，在未锁定对应资产的情况下提取约 280 万美元代币，随后兑换并多钱包转移以掩盖来源。加州北区法院于 2023 年 8 月提出八项指控，涉及计算机犯罪、转移被盗财产及洗钱；布洛克 2025 年 5 月在本-古里安机场被捕，耶路撒冷地区法院 2025 年 7 月批准引渡，以色列最高法院驳回其上诉和再审请求，认为利用程序漏洞即使在技术上允许仍可能构成非法计算机入侵。上述程序并非对其罪责的最终判决。
核对原文 ↗同主题资料ChainCatcher 链捕手 · 中文资讯
BNB Chain 称旗下网络及跨链桥未受币安安全事件影响
查看摘要与出处
BNB Chain 发文称，BNB Smart Chain、opBNB、BNB Greenfield 及 BNB Chain 跨链桥均未受到币安此次安全事件影响，目前所有网络运行正常，链上资金安全。BNB Chain 表示支持币安及自昨晚以来持续处理该事件的相关团队，充分信任币安团队的处理，并将与生态合作伙伴协作加强安全防护。
核对原文 ↗