クロスチェーンプロトコルZKLink、78.3万ドルのエクスプロイト被害
TREE NEWS 報道： クロスチェーンプロトコルZKLinkがセキュリティ侵害を受け、約78万3000ドルの損失が発生しました。SlowMistによると、攻撃者はプロトコルの一時ストレージ処理の脆弱性を悪用してバッチルートを偽造し、不正な引き出しを実行しました。この事件には少なくとも1ETHが含まれていますが、資産の全容はまだ調査中です。
攻撃の経緯
このエクスプロイトの中心は一時ストレージです。これはEIP-1153で導入された比較的新しいEVM機能で、単一トランザクションの間だけデータを安価に保存できるようにします。SlowMistの分析によると、ZKLinkの実装は一時ストレージから派生したバッチルートを適切に検証しておらず、攻撃者は不正なプルーフを作成し、正当な預金なしに引き出しを開始できました。
一時ストレージは一時データのガスコストを削減するために設計されていますが、その一時的な性質は微妙なセキュリティ上の前提を導入します。プロトコルがZKロールアップやクロスチェーンメッセージングのバッチ検証など、重要な状態遷移に一時ストレージを依存している場合、検証ロジックのわずかな隙間が壊滅的な結果を招く可能性があります。
業界への影響
この事件は、セキュリティ上の影響が完全に理解される前に、新しいEVM機能が本番DeFiシステムに統合されることに関連するリスクの増大を浮き彫りにしています。ZKLinkはまだ詳細な事後分析を公表していませんが、この攻撃パターンは他のクロスチェーンプロトコルに一時ストレージの使用状況を監査するよう促す可能性が高いです。
- クロスチェーンブリッジは依然として主要な標的：このエクスプロイトは、DeFiから合計数十億ドルを流出させてきたブリッジおよび相互運用性ハッキングの長いリストに追加されます。
- 監査のギャップ：この脆弱性は、監査済みのプロトコルでさえ、最近のEVMアップグレードによって導入されたエッジケースを見逃す可能性があることを示唆しています。
- 規制当局の監視：損失が増大するにつれ、規制当局はDeFiインフラにセキュリティ基準を課す取り組みを加速させる可能性があります。
今後の展開
ZKLinkは完全なインシデントレポートを公表し、回復努力を行う可能性がありますが、オンチェーン攻撃者の仮名性により返還は不確実です。DeFi開発者へのより広い教訓は明らかです。一時ストレージは強力ですが、厳格な検証が求められます。プロトコルは他の状態変更メカニズムと同様の注意を払い、可能な限り形式検証の対象とすべきです。
クロスチェーン活動が成長するにつれ、業界はスケーラビリティと並んでセキュリティイノベーションを優先する必要があります。それまでは、ユーザーはZKLinkの公式チャネルで最新情報を監視し、監査されていない、または新しくアップグレードされたコントラクトとのやり取りのリスクを考慮することをお勧めします。
