ChainCatcher melaporkan, berdasarkan analisis oleh pasukan keselamatan SlowMist, protokol lintas rantai zkLink telah diserang, dengan kerugian sekitar US$783.000. Penyerang memanfaatkan nilai pengesahan yang tersisa dalam penyimpanan sementara untuk memalsukan batch root yang diperlukan untuk pengesahan penarikan, kemudian menyelesaikan 12 penarikan, termasuk 1 penarikan ETH dan 11 penarikan token ERC-20. Penyerang terlebih dahulu mengambil dan menulis nilai pengesahan melalui satu pesan lintas rantai yang sah, lalu menggunakan semula nilai tersebut dalam panggilan seterusnya dalam transaksi yang sama, serta menggunakan kontrak relay dan gateway untuk menulis batch root yang dipalsukan. Kontrak berkaitan membenarkan pihak relay menentukan sasaran dan parameter panggilan luar, tetapi nilai pengesahan tidak dibersihkan atau diikat kepada panggilan semasa; pengemaskinian batch root hanya mengesahkan identiti gateway, tanpa bukti pengesahan yang berasingan.
Serangan zkLink Mengeksploitasi Kerentanan Penyimpanan Sementara, Kerugian Mencapai $783,000
ChaincatcherKongsi
Ringkasan
Sebuah insiden berita kerentanan terkini menyebabkan protokol lintas-chian zkLink mengalami kerugian sebanyak $783,000 akibat eksploitasi pada penyimpanan sementara. Penyerang menggunakan semula nilai pengesahan yang tersisa untuk memalsukan akar siri penarikan, membuatkan 12 penarikan termasuk ETH dan token ERC-20. Kelemahan ini membolehkan perantara menyuntik akar palsu melalui kontrak perantara dan gerbang. Berita di atas rantai menunjukkan bahawa nilai pengesahan tidak dibersihkan atau dikaitkan dengan panggilan tertentu, dan kemas kini akar siri tidak mempunyai pengesahan bebas.
Sumber:Tunjukkan artikel asal
Penafian: Maklumat yang terdapat pada halaman ini mungkin telah diperoleh daripada pihak ketiga dan tidak semestinya menggambarkan pandangan atau pendapat KuCoin. Kandungan ini adalah disediakan bagi tujuan maklumat umum sahaja, tanpa sebarang perwakilan atau waranti dalam apa jua bentuk, dan juga tidak boleh ditafsirkan sebagai nasihat kewangan atau pelaburan. KuCoin tidak akan bertanggungjawab untuk sebarang kesilapan atau pengabaian, atau untuk sebarang akibat yang terhasil daripada penggunaan maklumat ini.
Pelaburan dalam aset digital boleh membawa risiko. Sila menilai risiko produk dan toleransi risiko anda dengan teliti berdasarkan keadaan kewangan anda sendiri. Untuk maklumat lanjut, sila rujuk kepada Terma Penggunaan dan Pendedahan Risiko kami.