Scroll完成主网紧急升级，确认漏洞未被利用

contact@theblockbeats.org (律动BlockBeats)

11 月 11 日，Scroll 在治理论坛发布报告称，其于 11 月 3 日收到一份漏洞赏金报告，指向部署在以太坊主网上的 Bundle 证明验证器。11 月 10 日，团队已为批次版本 10 注册修复后的验证器，并确认该漏洞在 Scroll 主网上未被利用。

公告称，旧版验证器在向 OpenVM 2.0 Halo2 验证器发起调用时，会把调用方提供的证明前 4 个字节当作函数选择器使用。若证明以特定选择器开头，便可绕过原定回退路径，使一份旧的有效证明被接受为新的公开输入，进而最终确认任意状态根和提款根。利用该漏洞需要具备获授权的证明者角色，或在连续 7 天没有最终确认后开启的强制批次模式。Scroll 表示，强制模式从未开启，漏洞存续期间全部 748 次最终确认均使用常规证明，更早版本的验证器也不受影响。