跨链协议 ZKLink 遭攻击，损失约 78.3 万美元
TREE NEWS 报道， 跨链协议 ZKLink 遭遇安全漏洞攻击，造成约 78.3 万美元损失。据慢雾团队监测分析，攻击者利用其瞬态存储（transient storage）漏洞伪造批次根并实施未授权提款，涉及至少 1 枚 ETH，具体资产明细仍在调查中。
攻击如何发生
本次攻击的核心在于瞬态存储——这是随 EIP-1153 引入的 EVM 新特性，允许数据在单笔交易期间以较低成本临时存储。慢雾分析指出，ZKLink 的实现未能正确验证基于瞬态存储生成的批次根，使攻击者能够构造虚假证明并在没有合法存款的情况下发起提款。
瞬态存储旨在降低临时数据的 Gas 成本，但其短暂性也带来了微妙的安全假设。如果协议依赖瞬态存储进行关键状态转换（如 ZK-rollup 中的批次验证或跨链消息传递），验证逻辑的任何缺口都可能造成灾难性后果。
行业影响
此次事件凸显了在安全影响尚未被充分理解之前，将新型 EVM 特性集成到生产级 DeFi 系统中所带来的日益增长的风险。尽管 ZKLink 尚未发布详细的事后分析，但该攻击模式很可能促使其他跨链协议审计其瞬态存储的使用情况。
- 跨链桥仍是主要目标：此次漏洞利用使跨链桥和互操作性黑客攻击的清单进一步加长，这些攻击已从 DeFi 中累计抽走数十亿美元。
- 审计缺口：该漏洞表明，即使是经过审计的协议也可能遗漏近期 EVM 升级引入的边缘情况。
- 监管审查：随着损失增加，监管机构可能加快对 DeFi 基础设施实施安全标准的步伐。
后续展望
ZKLink 预计将发布完整的事件报告，并可能寻求追回资产，但链上攻击者的匿名性使得赔偿充满不确定性。对 DeFi 开发者而言，更广泛的教训很明确：瞬态存储功能强大，但需要严格的验证。协议应像对待任何其他状态变更机制一样谨慎对待它，并在可能的情况下进行形式化验证。
随着跨链活动增长，行业必须在可扩展性的同时优先考虑安全创新。在此之前，建议用户关注 ZKLink 官方渠道的更新，并考虑与未经审计或新升级合约交互的风险。
