Взлом моста zkLink Nova: 705 309 DAI украденных денег лежат на трёх кошельках и не двигаются с 9 ноября
PublicAML · Ончейн-расследование · 10 ноября 2026
28 октября атакующий подделал корень пакета в мосте zkLink Nova на Ethereum и одной транзакцией опустошил его хранилище: одиннадцать токенов и 22,43 ETH, по оценкам около $786 000. В новостях писали, что кошелёк с «примерно $546 000 в DAI» не двигался, но не называли его. Мы прошли по деньгам: атакующий обменял всё примерно на 306 ETH, разделил на три кошелька, перевёл в DAI, а 9 ноября перевёл 705 309 DAI на три новых адреса. С тех пор оттуда ничего не уходило. На обменники попало около десятой части — через FixedFloat и ChangeNOW.
705 309 DAI
на трёх кошельках с 9 ноября 2026, 14:36–14:47 UTC; не двигались на 10 ноября 17:33 UTC
1 транзакция
опустошила хранилище Nova 28 октября в 22:21:35 UTC (блок 26 294 188)
~306 ETH
во столько атакующий превратил одиннадцать токенов и разделил на 101 / 100 / 102 ETH
~27,8 ETH + 5 000 DAI
единственные выходы: шесть депозитных адресов FixedFloat и адрес ChangeNOW
Содержание
Как вывели деньги
Адрес эксплойтера 0xaca0655a11200a80d33d0e48786317304cde5718 получил первый газ — 0,027 ETH — с горячего кошелька FixedFloat в 15:49 UTC 28 октября. В следующие часы он сделал маленький пробный депозит и отправил сообщение через мост. В 22:21:35 одна транзакция выдала ему содержимое хранилища Nova 0xad16edcf7deb7e90096a259c81269d811544b6b6: 245,7 pufETH, 12,57 ezETH, 18 113 USDC, 6,87 rsETH, 6,3 STONE, 0,17 WBTC, 3 361 USDT, понемногу mswETH, mstETH, wstETH и rswETH и 22,43 ETH. Метод описали Blockaid и SlowMist: поддельный корень пакета, проведённый через публичный релеер, заставил мост считать выводы атакующего доказанными.
За сорок минут атакующий обменял pufETH на WETH, а остальное продал через Curve и MetaMask Swaps. К 23:01 у него было около 306 ETH, и он отправил их тремя частями: 101 ETH, 100 ETH и 102,06 ETH, плюс 32 158 DAI на третий кошелёк.
Три кошелька, потом ещё три
С 00:21 до 00:56 29 октября каждый из трёх транзитных кошельков — 0x211b4aebefea02470587286b398ed28fb7e09c6a, 0x2d5a8aabf7af4022e314eb2a54753ba2402bafb0 и 0x75dcf3395b6cbefc6b66b28d6d93f193b58dc0f3 — продал эфир за DAI. Небольшую часть снова продали за ETH и отправили на обменники (ниже). Потом одиннадцать дней ничего не происходило.
9 ноября с 14:34 до 14:48 UTC каждый транзитный кошелёк перевёл свои DAI на новый адрес: 268 344 DAI на 0xa5be3ee19a993aeaf6185d3d9a06128d372a90a6 (сейчас там 271 499 DAI), 211 963 DAI на 0xe6578a2a2b17c6aa043c9d83d6e6a0024b1522aa и 221 848 DAI на 0x44f32242e54699d3bcce65460336b4bb33c4d5cf. Это 705 309 DAI — примерно 90% заявленного ущерба — на трёх обычных кошельках. Эмитент DAI не может заморозить токены, так что деньги лежат, пока их не сдвинет сам атакующий. На все эти кошельки приходят поддельные токены «ETH» и «DAI» от ботов отравления адресов — это шум, а не деньги атакующего.
Куда ушло остальное
Около 65 600 DAI снова продали за эфир, и вместе с остатками примерно 27,8 ETH 29 октября ушли на шесть депозитных адресов FixedFloat суммами от 2 до 5,8 ETH. С FixedFloat пришёл и первый газ атакующего. Ещё 5 000 DAI через 0x791a1cff9f9431ef98ca25c2e31ecb92a8ac2f25 попали на адрес ChangeNOW. Оба — мгновенные обменники: у них есть записи заявок, которые может запросить полиция, а больше ничего в этом деле у компаний не лежит.
Чего эта страница не утверждает
Она не называет атакующего и не утверждает, что FixedFloat, ChangeNOW, Curve или MetaMask в чём-то виноваты: это сервисы, через которые прошли деньги. Описание ошибки от Blockaid и SlowMist и оценки ущерба в прессе — их. Путь денег и балансы — собственное прочтение Ethereum сотрудниками PublicAML 10 ноября 2026 года.
Адреса по делу
Кошельки, где с 9 ноября 2026 лежат 705 309 DAI (атакующий)
Транзитные кошельки, обменявшие ETH на DAI (атакующий)
Мелкие транзитные кошельки к обменникам (атакующий)
FixedFloat: горячий кошелёк, оплативший газ, и депозитные адреса, получившие ~27,8 ETH (сервис, не атакующий)
Адрес ChangeNOW, получивший 5 000 DAI (сервис), и хранилище zkLink Nova (пострадавший)
Проверьте адрес сами
Бесплатно, без регистрации. Вставьте любой адрес и посмотрите, связан ли он с этим или другим инцидентом:
Источники: Blockaid и SlowMist о методе и ущербе (через The Defiant, CryptoTimes, Crypto Adventure, 28–29 октября 2026); данные Ethereum — Etherscan API и публичная нода Ethereum, прочитано PublicAML 10 ноября 2026 года. FixedFloat и ChangeNOW определены по собственным меткам PublicAML. Это информационный ресурс о транзакциях между адресами, а не финансовая или юридическая консультация; он никого лично ни в чём не обвиняет.