比推消息，据区块链安全机构 GoPlus 分析，10 月 29 日，攻击者通过单笔交易从聚合 Layer2 网络 zkLink Nova 的以太坊 L1 托管合约中提取 22.43 枚 ETH 及 11 种 ERC-20 代币，按攻击发生时价格计算，总价值约 79.7 万美元。

漏洞源于 Arbitrator 合约的 claimMessage 函数未清除临时存储的消息哈希，导致已验证消息可被重复利用。攻击者借助可公开调用的授权中继器 SyncL2TxHashRelayer，伪造 L2 批次根并执行虚假提款。zkLink 官方已确认遭受攻击，暂停 Nova 网络出块、紧急修补受影响合约并暂时关闭提款通道，后续将进行全面安全检查。