Posteo
陈副业
一个跨链协议被打掉 78.3 万美元，金额不大，但攻击路径值得所有持仓者看一眼。
zkLink 在 10 月 29 日遭攻击。攻击者没破私钥，没破签名，走的是合约自己留下的漏洞：跨链消息带进来的验证值，用完之后没被清除。
过程很干净。攻击者先通过一笔真实跨链消息拿到合法验证值，然后在同一个交易里复用一次。合约既没清除它，也没绑定到当前调用，复用的值依然算有效凭证。再借中继和网关合约的手，把伪造的批次根写进系统。伪造成功后剩下的只是执行：1 笔 $ETH 提款，11 笔 ERC-20 提款。
更该警惕的是批次根更新的校验。它只校验调用方是不是网关，没对批次根本身做独立证明验证。等于把安全边界放在"网关身份可信"，而不是"这笔提款在密码学上成立"。
跨链桥很少死在密码学上，多数死在状态管理上。残留变量、越权校验、可复用凭证，都是同一个家族的问题。
能做的很实在：桥里的资产别长放。值得想的是，如果"验证值用完即焚"这种最基础的清理都能漏，那评估一个桥，该看它审计了几次，还是该看它的状态机有多简单。
Deslinde de responsabilidades: el contenido de OKX Orbit se brinda únicamente con fines informativos. Más información
Respuestas
Aún no hay comentarios. ¡Envía la primera respuesta!
Criptos en tendencia
BTC/USDTBitcoin
$67.311,1-0,02%
ETH/USDTEthereum
$1909,97-0,01%
OKB/USDTOKB
$91,59-0,03%
El pulso del mercado hoy
1#NVIDIA se reúne con el CEO de Arm, Haas; predicciones internas sobre el nuevo candidato a CEO
2#El PPI de EE. UU. en octubre aumentó un 6.5% interanual, por debajo de lo esperado
3#Anthropic inicia la gira de presentación para la OPI, con una valoración que vuelve a subir a 1.8 billones de dólares
