Em 28 de outubro, um hacker violou a ponte zkLink Nova, que conecta a rede zkLink ao Ethereum e ao Optimism, extraindo mais de US$ 780 mil em ativos. O exploit visou o contrato Arbitrator do protocolo, permitindo ao atacante forjar raízes de lote e retirar tokens e ETH para várias carteiras. Em resposta, a equipe da zkLink interrompeu a produção de blocos, pausou o contrato escrow da ponte e desativou os saques enquanto engenheiros auditam os componentes comprometidos.

ETH / USD
Fonte: CoinGecko. Preços indicativos.

Como o exploit se desenrolou

Segundo a Unchained, a primeira transação maliciosa foi confirmada às 18h21 (ET) de 28 de outubro e retirou cerca de 245,7 pufETH (avaliados em mais de US$ 600 mil) junto a alguns outros tokens da ponte. Uma segunda transação, sinalizada pela empresa de segurança SlowMist três horas depois, moveu 33 tipos adicionais de token, destacando aproximadamente 216,4 milhões de tokens ZKL, valendo cerca de US$ 50 mil. Uma terceira retirada, menor, ocorreu na manhã de quinta‑feira, repetindo o padrão inicial. A Blockaid rastreou a causa raiz a uma função no contrato Arbitrator que permitia a reutilização de um hash de mensagem válido, permitindo ao atacante injetar uma raiz de lote falsificada e aprovar saques para endereços de sua escolha.

A equipe da zkLink anunciou a violação no X, reconhecendo o ataque ao contrato Arbitrator e pedindo ao perpetrador que devolva os fundos roubados. Ofereceram uma recompensa de 20 % para quem devolver os ativos como white‑hat, afirmando que nenhuma ação legal será tomada se os recursos forem recuperados. Engenheiros lançaram patches urgentes nos contratos afetados e estão conduzindo uma revisão abrangente antes de restaurar os serviços. Nenhum cronograma foi divulgado para o retorno à operação normal da rede.

Contexto mais amplo e o que observar a seguir

O incidente segue uma série recente de exploits em pontes, incluindo um ataque de flash‑loan a um cofre baseado em Avalanche que roubou cerca de US$ 1 milhão e a paralisação da cadeia da Initia após um dreno de ponte de US$ 2,7 milhões. Analistas apontam que a vulnerabilidade de reutilização de hash destacada pela Blockaid e pela SlowMist evidencia riscos persistentes em contratos de mensagens cross‑chain. Observadores monitorarão se algum dos ativos roubados for movimentado on‑chain, a eficácia dos patches da zkLink e eventual escrutínio regulatório sobre práticas de segurança de pontes.