Kasplex 索引器漏洞致 ZEAL 与 NACHO 被异常转出

ChainCatcher 消息，攻击者利用 Kasplex KRC-20 链下索引器的签名验证绕过漏洞，在未持有桥接托管钱包私钥的情况下，转出 1.86 亿枚 ZEAL 及 543.98 亿枚 NACHO。

据披露，攻击者通过 5 笔伪造交易，将相关代币经 Igra Labs EVM 层和 Kasplex L2 铸造后，出售至 Zealous Swap 流动性池。受影响流动性池的 KAS 侧价值损失 94% 至 99.6%。

Igra 暂停部分功能并发布风险提示

Igra 已暂停 iKAS 退出至 Kaspa L1 及 Hyperlane 转账，并提醒用户避免桥接 KRC-20 代币、在 L2 DEX 买入 ZEAL 或 NACHO，以及向相关池添加流动性。

同时，Kaspa L1 共识及未桥接的 Igra 资产未受影响。

Zealous Swap 提出修复方向

Zealous Swap 表示，运营方需修复索引器并重新索引历史记录，拒绝空签名、异常标签及 OP_ENDIF 后仍含脚本的交易。