偽バッチルートでzkLink Novaのエスクローが0.001 ETHまで流出

Ethereum上の偽バッチルート

10月28日(水)、攻撃者が偽のバッチルートを公開リレイヤー経由で注入し、ブリッジが承認していない引き出しを実行した結果、zkLink NovaのEthereum (ETH)エスクロー残高は約0.001 ETHまで減った。セキュリティ企業Blockaidは同日夜、東部時間午後10時24分にX上で警報を発した。時刻は最大の単一送金から約4時間後であり、その時点の被害額はETHとERC-20トークン合わせて約78万6,000ドルと推計され、攻撃は継続中と説明された。仕組みを押さえたい。公開リレイヤーとは、ネットワークに代わって取引を送信する開放型のサービスであり、今回は偽造メッセージをEthereumへ運ぶ役割を担った。zkLink Novaはレイヤー3ブロックチェーンで、Ethereumのレイヤー1と接続された各レイヤー2ネットワークから資産を集約する。預け入れ資産は送信元チェーンのコントラクト内に置かれ、残高は正規のブリッジプロトコルを通じて計上される仕組みだ。ブリッジ設計におけるバッチルートは、クロスチェーンメッセージ群を検証するハッシュであり、ここではNovaが承認した引き出し一式が対象になる。被害を受けたL1のETHエスクローとERC-20ブリッジの2つの契約が、これらの残高の裏付けとなる担保を保管していた。zkLinkの決済設計は、バッチ確定前の証明検証とクロスチェーン整合性検証を求め、引き出しはルートがロールアップかサイドチェーンに到達して初めて進む。Blockaidの説明によれば、偽ルートはこの順序を飛ばして公開リレイヤー経由でEthereumに注入された。オンチェーンデータもこれを裏付ける。同一取引内で、ETHとトークンの引き出しに先立つ記録として新たなバッチルートが現れており、Etherscanの取引ログで誰でも確認できる。

オンチェーン記録は被害額を絞り込む。主体となる引き出し取引は10月28日午後6時21分(東部時間)に実行され、NovaのEthereum (ETH)エスクローから22.43 ETH、トークンブリッジから11種のERC-20トークンを単一アドレスへ送金した。Etherscanの表示価格で合計すると77万8,625.84ドルになる。ただし、この金額はこの一件の取引のみを対象とし、全体総額は確定していない。警報時の推計も、最終的な額がさらに上振れる可能性を残していた。最大のロットは245.74 pufETHで約61万3,536ドルに達し、約18,113 USDCと3,361 USDTとともに流出した。Blockaidのスレッドは攻撃者が使用した2つのアドレスを挙げ、ERC-20ブリッジを同一作戦の第二標的として指摘した。流出後、被害を受けたETHエスクローには約0.001 ETHしか残らなかったが、東部時間午後10時29分の時点で一時停止フラグは未設定のままであり、他の制御が追加の引き出しを止めたのかは不明のままだ。偽のクロスチェーンメッセージによる攻撃は相次いでおり、いずれの事案もブリッジが未検証のメッセージを受理したことが発端だった。10月17日(土)にはCysicのクロスチェーンブリッジで偽のミントメッセージが不正なCYSトークン1,000万個を生成し、攻撃者は720万個を売却して約72万7,000ドル相当をEthereumへ移した後に、プロジェクト側が当該ウォレットをブラックリスト登録した。7月にはVerusのEthereumブリッジから約754万ドルが流出しており、5月の約1,158万ドルに続く二度目の損失となった。Blockaidは両Verus事故を同一コントラクトと導入経路に結び付け、checkCCEValues関数内のSolidity検証コード約10行の欠落を根因と特定した。これは2022年のWormholeとNomad攻撃と同種の誤りである。

一時停止フラグは未設定のまま

対応がこれまでに変えたものは限定的だ。Blockaidの警報は、最終引き出しから数時間以内に公開の追跡情報を市場へ提供した。オンチェーン記録によって、約78万6,000ドルの流出と約0.001 イーサリアム (ETH)まで減ったエスクロー残高は、誰でも検証できる。変わっていないのはzkLink自身の姿勢である。水曜夜の時点で、事後報告も修復計画も、エスクローまたはブリッジの一時停止の確認も公表されていない。一時停止フラグが未設定である以上、引き出しが完全に遮断されたかどうかは、発表ではなくチェーンそのものだけが答える。同プロトコルのZKLトークンの保有者は、偽ルートを通過させた決済検証の特定を明記した最初の公式インシデント報告を待っている。Nova経由でルーティングされた入金が今後何を伴うかは、その報告が示す段取り次第だ。