약 78.3만 달러 손실, zkLink 공격에 일시적 스토리지 취약점 연루

Odaily 보도에 따르면, SlowMist 보안팀 분석 결과 크로스체인 프로토콜 zkLink가 10월 29일 공격을 받아 약 78.3만 달러의 손실을 입었다. 공격자는 일시적 스토리지에 남아 있던 검증 값을 악용해 출금 검증에 필요한 배치 루트를 위조한 후, 총 12회의 출금을 완료했으며 여기에는 ETH 출금 1회와 ERC-20 토큰 출금 11회가 포함된다. 공격자는 먼저 실제 크로스체인 메시지 1건을 통해 검증 값을 수령하고 기록한 뒤, 동일 트랜잭션의 후속 호출에서 해당 값을 재사용하여 릴레이 및 게이트웨이 컨트랙트를 통해 위조된 배치 루트를 기록했다. 관련 컨트랙트는 릴레이어가 외부 호출 대상과 파라미터를 지정할 수 있도록 허용했으며, 검증 값은 제거되지 않았거나 현재 호출에 바인딩되지 않았다. 배치 루트 업데이트는 게이트웨이 신원만 검증할 뿐 독립적인 증명 검증이 부재했다.