Kasplex KRC-20 簽名繞過漏洞致 ZEAL、NACHO 資金池 KAS 側價值最高損失 99.6%

攻擊者利用 Kasplex KRC-20 鏈下索引器的簽名驗證繞過漏洞，在未持有橋接托管錢包私鑰的情況下，轉出 1.86 億枚 ZEAL 及 543.98 億枚 NACHO。其通過 5 筆偽造交易將代幣經 Igra Labs EVM 層和 Kasplex L2 鑄造後，出售至 Zealous Swap 流動性池。受影響流動性池的 KAS 側價值損失 94% 至 99.6%。

Igra 已暫停 iKAS 退出至 Kaspa L1 及 Hyperlane 轉帳，並提醒用戶避免橋接 KRC-20 代幣、在 L2 DEX 買入 ZEAL 或 NACHO，以及向相關池添加流動性。Kaspa L1 共識及未橋接的 Igra 資產未受影響。Zealous Swap 表示，運營方需修復索引器並重新索引歷史記錄，拒絕空簽名、異常標籤及 OP_ENDIF 後仍含腳本的交易。