Эксплойт zkLink Nova: поддельный корень вывел около $780 тыс.

28 октября 2026 года атакующий опустошил эскроу zkLink Nova на Ethereum, забрав 22,43 ETH и 11 ERC-20-токенов (включая ~245,74 pufETH) на сумму около $780 тыс. Причина — непрочищенный transient-хэш в Arbitrator.claimMessage() и вызов произвольного адреса от имени доверенного контракта. zkLink остановила производство блоков и экстренно пропатчила контракты.

• Украдено 22,43 ETH и 11 ERC-20-токенов, оценка ущерба $743–805 тыс.
• Причина — transient-хэш finalizeMessageHash, не сбрасываемый после проверки
• claimMessage() выполнял произвольный target и calldata от имени Arbitrator
• zkLink остановила блоки, пропатчила контракты и отключила вывод средств