Kasplex KRC-20 签名绕过漏洞致 ZEAL、NACHO 资金池 KAS 侧价值最高损失 99.6%

ChainCatcher 消息，攻击者利用 Kasplex KRC-20 链下索引器的签名验证绕过漏洞，在未持有桥接托管钱包私钥的情况下，转出 1.86 亿枚 ZEAL 及 543.98 亿枚 NACHO。其通过 5 笔伪造交易将代币经 Igra Labs EVM 层和 Kasplex L2 铸造后，出售至 Zealous Swap 流动性池。受影响流动性池的 KAS 侧价值损失 94% 至 99.6%。

Igra 已暂停 iKAS 退出至 Kaspa L1 及 Hyperlane 转账，并提醒用户避免桥接 KRC-20 代币、在 L2 DEX 买入 ZEAL 或 NACHO，以及向相关池添加流动性。Kaspa L1 共识及未桥接的 Igra 资产未受影响。Zealous Swap 表示，运营方需修复索引器并重新索引历史记录，拒绝空签名、异常标签及 OP_ENDIF 后仍含脚本的交易。