zkLink Nova跨链桥遭伪造批量根攻击，损失78.6万美元

zkLink Nova的跨链桥被黑客攻击，黑客靠伪造验证信息骗走合约里面的资产，损失接近78.6万美元。安全方发现的时候攻击还没停下，项目方还没关停受影响的合约，也没说后续怎么处理。下面小编简单梳理zkLink Nova跨链桥遭遇攻击的情况及警示。

攻击者利用跨链验证机制漏洞，伪造提款授权，从zkLink Nova的以太坊跨链桥中盗取价值约78.6万美元的加密资产。

区块链安全公司Blockaid监测到本次攻击：攻击者通过公开中继器提交伪造的批量根，这笔恶意交易从zkLinkNova以太坊L1托管合约中将ETH与各类ERC-20代币转移至攻击者控制地址。

Blockaid于2026年10月28日晚间发现该攻击，并在预警时提示攻击当时仍在持续，完整损失规模仍在核查中。

伪造批量根致使非法提款得逞

攻击目标为zkLink Nova用于以太坊与二层网络之间资产划转的结算基础设施。

按照zkLink跨链结算架构，交易批次会先在Linea上完成验证，确认后的根数据再中继至以太坊等其他网络，以此作为提款的授权依据。

攻击者通过公开中继器注入虚假批量根，绕过正常验证流程，让以太坊端合约判定非法提款请求有效，释放托管池内资产。漏洞出在跨链桥的消息验证与提款授权环节，目前尚未查清究竟是哪一处底层缺陷让伪造根通过校验。调查人员暂未发现管理员私钥泄露迹象，攻击者身份也暂未锁定。

ETH与ERC-20桥储备资产受损

受攻击的是zkLink Nova以太坊托管合约以及ERC-20跨链桥合约。一笔已标记的以太坊交易向攻击者地址转出约22.43枚ETH以及11种ERC-20代币。其中单笔最大提款为245.74枚pufETH，交易发生时价值约61.35万美元。其他被盗资产还包括约18113枚USDC、3361枚USDT以及若干小额代币。该笔交易总价值约77.9万美元，是Blockaid初步损失统计的主要部分，并非另一起独立攻击事件。

本次攻击针对支撑zkLink Nova跨链转入资产的储备池，给依赖该合约的用户带来提款与流动性风险。2026年已有多个协议出现同类跨链验证漏洞：7月Verus以太坊跨链桥因虚假导入指令被盗754万美元；更近的10月23日，Initia跨链桥遭到攻击，攻击者利用Move VM漏洞铸造无背书资产并兑换真实跨链储备，造成约270万美元损失。

zkLink尚未公布修复方案与处置结果

zkLink暂未公开确认本次攻击的全部影响范围、跨链桥合约是否暂停，也未说明被盗资金是否追回。目前没有官方公布可靠的漏洞修复方案、赔付方案以及恢复安全提款的时间表。

zkLink Nova上的用户能否顺利提款至以太坊存在不确定性。在相关基础设施加固、运行状态确认前，继续使用该跨链桥转账将面临较高风险。Blockaid最初预警标注攻击仍在进行，现有公开信息尚不能确认漏洞已被封堵、非法提款已经停止。