Le 28 octobre, un hacker a pénétré le pont zkLink Nova qui relie le réseau zkLink à Ethereum et Optimism, dérobant plus de 780 000 $ d’actifs. L’exploitation visait le contrat Arbitrator du protocole, permettant à l'attaquant de falsifier des racines de lots et de retirer des jetons ainsi que de l'ETH vers plusieurs portefeuilles. En réponse, l’équipe zkLink a arrêté la production de blocs, suspendu le contrat d’entiercement du pont et désactivé les retraits pendant que les ingénieurs auditent les composants compromis.

ETH / USD
Source : CoinGecko. Prix indicatifs.

Comment l’exploitation s’est déroulée

Selon Unchained, la première transaction malveillante a été confirmée à 18 h 21 ET le 28 octobre et a prélevé environ 245,7 pufETH (d’une valeur de plus de 600 000 $) ainsi qu’une poignée d’autres jetons du pont. Une seconde transaction, signalée par la société de sécurité SlowMist trois heures plus tard, a déplacé 33 types de jetons supplémentaires, notamment environ 216,4 millions de jetons ZKL, soit environ 50 000 $. Une troisième, plus petite, retrait s’est produit tôt jeudi matin, reproduisant le schéma initial. Blockaid a retracé la cause profonde à une fonction du contrat Arbitrator qui permettait la réutilisation d’un hash de message valide, autorisant l’attaquant à injecter une racine de lot falsifiée et à approuver des retraits vers les adresses de son choix.

L’équipe zkLink a annoncé la brèche sur X, reconnaissant l’attaque du contrat Arbitrator et invitant le responsable à restituer les fonds volés. Elle a offert une prime de 20 % pour un retour en white‑hat, précisant qu’aucune action juridique ne serait engagée si les actifs étaient récupérés. Les ingénieurs ont rapidement déployé des correctifs sur les contrats affectés et mènent une revue exhaustive avant de restaurer les services. Aucun calendrier n’a été communiqué quant à la reprise normale du réseau.

Contexte plus large et perspectives

L’incident s’inscrit dans une série récente d’exploits de ponts, dont une attaque flash‑loan sur un coffre basé sur Avalanche qui a volé environ 1 million $ et la mise hors ligne de la chaîne Initia après un drain de pont de 2,7 millions $. Les analystes soulignent que la vulnérabilité de réutilisation de hash mise en évidence par Blockaid et SlowMist souligne les risques persistants des contrats de messagerie inter‑chaînes. Les observateurs surveilleront si les actifs volés sont déplacés on‑chain, l’efficacité des correctifs de zkLink et toute éventuelle surveillance réglementaire des pratiques de sécurité des ponts.