重要 zkLink遭攻击损失约780K美元

据慢雾官网消息，2026年10月29日，跨链协议 zkLink 遭攻击，损失约783,000美元。SlowMist 安全团队对该事件进行了详细分析。前提条件：zkLink 是一个多链 zk-rollup 协议。在 Ethereum 上，ZkLink 合约（0x5fd9f73286b7e8683bab45019c94553b93e015cf）充当 L1 消息服务并持有 ETH 金库。其配套的 L1ERC20Bridge（0xad16edcf7deb7e90096a259c81269d811544b6b6）持有 ERC-20 金库。提款验证依据是“批次根”。每笔 L2 提款都会生成一条 L2→L1 日志，同一批次内的日志构成一棵 Merkle 树。批次在 L2 执行后，其日志根 l2LogsRootHashes[batchNumber] 会同步至 L1 上的 ZkLink 合约。用户在 L1 提款时，会提交提款消息和 Merkle 证明。ZkLink 使用存储的根验证证明，仅在验证成功后释放资金。换言之，只有根是真实的，消息才会被视为有效；如果根被伪造，任何消息都可被“证明”已经发生。ZkLink 还使用 totalBatchesExecuted 记录。