zkLink, 공격으로 약 78만3,000달러 손실…SlowMist 분석

SlowMist 보안팀 분석 결과, 크로스체인 프로토콜 zkLink가 10월 29일 공격으로 약 78만3,000달러의 손실을 입었다. 공격자는 임시 저장소에 남아 있던 검증값을 이용해 출금 검증에 쓰이는 배치 루트를 조작했다. 공격자는 ETH 출금 1건과 ERC-20 토큰 출금 11건 등 총 12건의 출금을 완료했다.

공격자는 처음에 정상적인 크로스체인 메시지를 이용해 검증값을 확보하고 저장했다. 이후 같은 거래에서 이뤄진 호출은 릴레이어 및 게이트웨이 컨트랙트를 통해 이 값을 재사용해 조작된 배치 루트를 기록했다. 영향을 받은 컨트랙트는 릴레이어가 외부 호출의 대상과 매개변수를 선택하도록 허용했다. 검증값은 지워지지 않았고 현재 호출과 연결되지도 않았다. 배치 루트 업데이트는 게이트웨이의 정체성만 확인하며 증명을 별도로 검증하지 않는다.