币圈界报道：

zkLink Nova以太坊托管账户遭伪造根数据攻击，资产被大规模转移

周三晚间，zkLink Nova协议的以太坊主网托管账户遭遇针对性攻击，攻击者通过公共中继器向以太坊网络注入伪造的批次根数据，致使账户余额几乎清零，仅余约0.001 ETH。据安全公司Blockaid披露，此次事件造成的损失总额接近78.6万美元，涵盖ETH及11种ERC-20代币。

伪造批次根经由中继器注入，触发异常提款流程

Blockaid于美国东部时间10月28日晚10:24首次标记该攻击事件。其分析指出，攻击者利用公开可访问的中继节点，将非法构造的批次根提交至以太坊链上，绕过常规验证机制。在该伪造数据被确认后，系统自动执行了提款操作，资金被批量转入指定接收地址。

单笔交易即转移超77万美元，最大一笔为61.3万美元

在警报发布前数小时，一笔发生于美东时间下午6:21的交易已将778,625.84美元资产转出。该笔操作从Nova的以太坊托管账户提取22.43 ETH，并从代币桥接合约中调用11种ERC-20资产，全部集中发送至同一钱包。其中最大一笔为245.74 pufETH，折合约613,536美元；另有约18,113 USDC与3,361 USDT被同步转移。

历史漏洞模式重现，多起类似攻击指向同一合约路径

此事件并非首例。此前，Cysic跨链桥曾在10月17日遭遇相同手法，攻击者伪造铸造消息生成1000万枚未经授权代币并迅速抛售，获利约72.7万美元。更早的7月，Verus桥曾因相似逻辑错误导致754万美元流失，而5月则发生1158万美元被盗。Blockaid指出，这些案件均源于同一类合约漏洞——关键验证函数缺失必要的Solidity校验代码，该问题亦曾引发Wormhole与Nomad等重大安全事故。