zkLink协议遭恶意攻击，逾78万美元资产失窃

10月29日，跨链基础设施zkLink遭受针对性攻击，据慢雾安全团队披露，攻击者通过操控瞬态存储中的残留验证值，成功伪造提款所需的批次根信息，实施共计12次资金提取操作。

利用验证值复用漏洞，构建虚假批次根

攻击路径显示，攻击者首先发起一笔合法跨链消息以触发验证值写入，随后在同一交易上下文中重复使用该值，结合中继与网关合约的外部调用权限，注入伪造的批次根数据。

合约设计缺陷导致身份验证失效

分析指出，当前合约架构允许中继节点自主指定调用目标与参数，而验证值未在每次调用后清除或与特定调用绑定，同时批次根更新仅依赖网关身份认证，缺乏独立性校验机制，构成可被滥用的安全盲区。