2023년 10월 28일, 해커가 zkLink 네트워크와 Ethereum·Optimism을 연결하는 zkLink Nova 브리지를 침해해 78만 달러 이상의 자산을 탈취했습니다. 이번 악용은 프로토콜의 Arbitrator 계약을 목표로 하여 공격자가 배치 루트를 위조하고 토큰과 ETH를 여러 지갑으로 인출할 수 있게 했습니다. 이에 zkLink 팀은 블록 생산을 중단하고 브리지 에스크로 계약과 출금을 일시 중지했으며 엔지니어들이 침해된 구성 요소를 감사하고 있습니다.

ETH / USD
출처: CoinGecko. 참고용 가격입니다.

악용 전개 과정

Unchained에 따르면 첫 번째 악의적 트랜잭션은 10월 28일 동부표준시 기준 오후 6시 21분에 확인됐으며, 약 245.7 pufETH(600,000달러 이상)와 소량의 기타 토큰을 브리지에서 빼냈습니다. 3시간 뒤 보안 업체 SlowMist가 표시한 두 번째 트랜잭션은 33개의 추가 토큰을 이동했으며, 그 중 약 2억 1,640만 ZKL 토큰(약 5만 달러 상당)이 포함되었습니다. 세 번째, 더 작은 인출은 목요일 새벽에 발생했으며 초기 패턴을 반복했습니다. Blockaid는 Arbitrator 계약의 함수가 유효한 메시지 해시를 재사용하도록 허용해 공격자가 위조된 배치 루트를 주입하고 원하는 주소로 인출을 승인할 수 있게 된 것이 원인이라고 밝혔습니다.

zkLink 팀은 X에 침해 사실을 발표하며 Arbitrator 계약에 대한 공격을 인정하고 가해자에게 탈취된 자금을 반환하도록 촉구했습니다. 반환 시 20% 현상금을 제공하고, 자금이 회수되면 추가 법적 조치를 취하지 않겠다고 밝혔습니다. 엔지니어들은 영향을 받은 계약에 대한 패치를 급히 배포하고 서비스를 복구하기 전 종합적인 검토를 진행 중이며, 네트워크가 정상 운영을 재개할 시점은 아직 제시되지 않았습니다.

보다 넓은 맥락과 향후 관찰 포인트

이번 사건은 Avalanche 기반 금고에 대한 플래시론 공격으로 약 100만 달러가 탈취된 사례와 Initia 체인이 270만 달러 규모의 브리지 탈취 후 오프라인 상태가 된 사례 등 최근 브리지 악용 사태에 이어 발생했습니다. 분석가들은 Blockaid와 SlowMist가 강조한 재사용 해시 취약성이 크로스체인 메시징 계약의 지속적인 위험을 보여준다고 지적합니다. 관찰자들은 탈취된 자산이 온체인에서 이동되는지, zkLink의 패치 효과, 그리고 브리지 보안 관행에 대한 규제 감시 가능성을 주시할 것입니다.