Scroll紧急修复严重桥接漏洞，未被利用且系统状态完好

Scroll官方发布紧急修复公告，确认已解决其桥接协议中一个可能导致资金被盗的严重漏洞。尽管该漏洞存在潜在风险，但官方强调尚未有攻击者实际利用，系统整体状态保持完整。

漏洞成因与技术细节

此次修复针对名为 ZkEvmVerifierPostFeynman 的合约，该合约负责在以太坊上验证 Scroll 的状态变更证明。问题源于合约手动构建调用路径时，使用了用户提供的证明前四个字节作为函数标签。由于OpenVM Halo2验证器中存在一个特定标签（0x24270d54）的verify函数，若恶意证明以该字节开头，将绕过正常流程，直接调用此函数。

该函数可接收攻击者可控的数据输入，从而允许伪造有效的状态根和提款根，进而误导以太坊主网的状态一致性判断。这一机制若被滥用，可能造成资产锁定或错误释放。

修复方案与安全验证

为防止此类绕行攻击，修复版本已统一所有调用入口至单一入口点，由合约自身决定执行逻辑，不再依赖外部证明数据中的标签字段。此举显著增强了链上验证过程的可控性与安全性。

Scroll感谢道德黑客 ZHOUCHUNGONG 在11月3日报告该问题，并在一周内完成补丁发布。团队还对漏洞存在期间产生的全部748次最终确定结果进行了回放测试，在以太坊主网副本上重演233次历史交易，确认所有根哈希值一致，系统状态无异常。

治理结构变动与影响

此次是自2026年6月1日移除独立安全委员会后，Scroll首次发布紧急修复补丁。此前，安全委员会由12名成员组成，重大行动需至少9人同意，保障了多层审核机制。目前，核心合约管理权已移交至由团队掌控的3-of-4多签钱包，取消了延迟机制，可即时升级关键合约。

这一调整使Scroll失去Stage 1去中心化评级，现处于Stage 0。虽然团队称此举降低维护成本、提高响应效率，但部分社区成员质疑其去中心化程度的退步，担忧未来决策透明度。

此外，2026年11月4日，Scroll DAO论坛提出一项新提案：将链转型为围绕人工智能构建的私有、邀请制网络，同时将SCR代币迁移回以太坊主网，用于投票与质押。

生态现状与市场表现

数据显示，Scroll的总锁仓价值（TVL）自2024年约6亿美元持续下滑，截至今年4月已降至约2430万美元，最新统计进一步降至约660万美元。与此同时，SCR代币价格跌至约0.018美元，相比2024年峰值已回落近99%。