Blockaid signale un piratage en cours sur le pont zkLink Nova

Blockaid détecte un piratage en cours sur le pont de zkLink

Blockaid a signalé un piratage en cours (« ongoing exploit ») visant le pont de zkLink côté Ethereum, dans un message publié sur son compte X le 29 octobre 2026 à 3 h 24. Le message de Blockaid mentionne directement le compte officiel du projet, @zkLink_Official.

🚨Blockaid detected an ongoing exploit on @zkLink_Official bridge on ethereum.
Used a public relayer to inject a forged batch root on Ethereum, then finalized ETH and ERC20 withdrawals from zkLink Nova L1 escrow to attacker-chosen receivers.
~$786k drained from L1 ETH escrow and ERC20 bridge so far. Attack still ongoing.🧵

— Blockaid (@blockaid_), 29 octobre 2026 à 3 h 24 Compte officiel

Voir le message sur X ↗

Selon Blockaid, l'attaque vise l'escrow de zkLink Nova sur la couche 1 (L1), c'est-à-dire sur Ethereum. Dans le message de Blockaid, cet escrow, un compte de séquestre, est le point de départ des retraits d'ETH et de jetons ERC20, le standard des jetons émis sur Ethereum.

L'attaquant a fait passer une fausse racine de lot par un relayeur public

D'après la description de Blockaid, l'attaquant a d'abord utilisé un relayeur public (« public relayer ») pour injecter une fausse racine de lot (« forged batch root ») sur Ethereum. Blockaid emploie le terme « forged », traduit ici par « fausse », pour qualifier cette racine de lot.

Selon Blockaid, l'attaquant a ensuite finalisé des retraits d'ETH et de jetons ERC20 depuis l'escrow L1 de zkLink Nova. Le message de Blockaid précise que ces retraits ont été dirigés vers des destinataires choisis par l'attaquant (« attacker-chosen receivers », traduit de l'anglais).

Blockaid chiffre les fonds prélevés à environ 786 000 $ au 29 octobre

Blockaid chiffre à environ 786 000 $ (« ~$786k ») les fonds prélevés notamment sur l'escrow ETH en L1, selon son message du 29 octobre 2026.

Le même message de Blockaid fait état d'une exploitation en cours (« ongoing exploit ») lors de la publication. Blockaid décrivant une exploitation en cours, le chiffre d'environ 786 000 $ avancé le 29 octobre 2026 ne constitue pas un bilan final des pertes du pont zkLink Nova.

Le tableau ci-dessous regroupe les éléments chiffrés et techniques du message publié par Blockaid le 29 octobre 2026 à 3 h 24.

Donnée	Valeur	Date	Source
Montant prélevé selon Blockaid	environ 786 000 $ (« ~$786k »)	29 octobre 2026	Blockaid, message sur X
Heure de publication du message	3 h 24	29 octobre 2026	Blockaid, message sur X
Statut de l'attaque lors de la publication	en cours (« ongoing exploit »)	29 octobre 2026	Blockaid, message sur X
Réseau visé	Ethereum, couche 1 (L1)	29 octobre 2026	Blockaid, message sur X
Compartiment cité pour le montant	escrow ETH en L1 de zkLink Nova	29 octobre 2026	Blockaid, message sur X
Actifs retirés	ETH et jetons ERC20	29 octobre 2026	Blockaid, message sur X
Moyen d'injection	relayeur public (« public relayer »)	29 octobre 2026	Blockaid, message sur X
Donnée injectée	fausse racine de lot (« forged batch root »)	29 octobre 2026	Blockaid, message sur X
Destinataires des retraits	adresses choisies par l'attaquant (« attacker-chosen receivers »)	29 octobre 2026	Blockaid, message sur X

La réaction de zkLink, qu'il s'agisse d'une confirmation, d'une suspension du pont, d'un correctif ou d'une compensation des utilisateurs, n'est pas connue à ce stade.

Questions fréquentes

Combien a été prélevé lors du piratage du pont zkLink Nova ?

Selon le message publié sur X par Blockaid le 29 octobre 2026, environ 786 000 $ (« ~$786k ») avaient été prélevés, notamment sur l'escrow ETH en L1 de zkLink Nova. Blockaid décrivant une exploitation en cours (« ongoing exploit ») lors de la publication, ce montant n'est pas un bilan final des pertes. Le message de Blockaid ne permet pas de dire à quel niveau les pertes se sont arrêtées.

Comment l'attaquant a-t-il exploité le pont zkLink Nova ?

D'après la description publiée par Blockaid sur X le 29 octobre 2026, l'attaquant a utilisé un relayeur public (« public relayer ») pour injecter une fausse racine de lot (« forged batch root ») sur Ethereum. Il a ensuite finalisé des retraits d'ETH et de jetons ERC20 depuis l'escrow L1 de zkLink Nova, dirigés vers des destinataires choisis par lui (« attacker-chosen receivers », traduit de l'anglais). Dans la description de Blockaid, l'injection de la fausse racine précède donc la sortie des fonds.

Qui a détecté le piratage du pont zkLink et quand l'alerte a-t-elle été publiée ?

Blockaid a signalé le piratage dans un message publié sur son compte officiel X (@blockaid_) le 29 octobre 2026 à 3 h 24. Le message parle d'une exploitation en cours (« ongoing exploit ») sur le pont de zkLink côté Ethereum et mentionne le compte @zkLink_Official. Selon Blockaid, l'attaque visait l'escrow de zkLink Nova sur la couche 1, c'est-à-dire sur Ethereum, et était en cours au moment de la publication.