Nomad Bridge utrpěl ztrátu 190 milionů dolarů při chaotickém útoku typu kopírování a vkládání

V časných hodinách 2. srpna Nomad bridge zveřejnil varování, že si je vědom probíhajícího zneužití. V následujících hodinách byly vyčerpány prostředky celého protokolu ve výši více než 190 milionů dolarů.

Vývojář krypto komunity a bílý klobouk „samczsun“ přerušil řetězec událostí a vysvětlil, co se stalo. Útok označil za „jeden z nejchaotičtějších hacků, které Web3 kdy viděl“.

1/ Nomad právě dostal více než 150 milionů dolarů v jednom z nejchaotičtějších hacků, které Web3 kdy viděl. Jak přesně k tomu došlo a co bylo hlavní příčinou? Dovolte mi vzít vás do zákulisí? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Srpna 1, 2022

Nomad je symbolický most pro zkřížené převody mezi řetězci Ethereum, Avalanche, Milkomeda a Moonbeam.

Nomádské fondy byly vyčerpány

Výzkumníci sdíleli tweet na kanálu ETHSecurity Telegram, který ukazuje více transakcí finančních prostředků opouštějících most. Na první pohled se zdálo, že jde o chybnou konfiguraci v desetinných čárkách, ale samczsun zjistil:

"Po nějakém bolestivém manuálním kopání v síti Moonbeam jsem však potvrdil, že zatímco transakce Moonbeam překlenula 0.01 WBTC, transakce Ethereum nějak překlenula 100 WBTC."

To, co dělá tento exploit odlišný, je to, že transakce nebyly „prokázány“ a provedeny přímo. "Být schopen zpracovat zprávu, aniž byste to nejprve prokázali, je extrémně špatné," řekl samczsun. Kodér provedl další kopání a našel fatální chybu v inteligentní smlouvě 'Replica' inicializované během rutinního upgradu Nomad.

Dodal, že to bylo chaotické, protože zloději kryptoměn nepotřebovali žádné technické znalosti. Potřebovali jen najít transakci, která fungovala, nahradit cílovou adresu svou vlastní a znovu ji vysílat.

„Rutinní upgrade označil nulový hash za platný kořen, což mělo za následek, že zprávy byly na Nomadu podvrženy. Útočníci toho zneužili ke kopírování/vkládání transakcí a rychle vyčerpali most ve zběsilém free-for-all,“

TVL na nulu

Nomad dokonce objevil podvodné adresy pokoušející se ukrást finanční prostředky vrácené na můstek.

Jsme si vědomi toho, že napodobitelé vystupují jako Nomad a poskytují podvodné adresy pro vybírání finančních prostředků. Zatím neposkytujeme pokyny k vrácení překlenovacích prostředků. Ignorujte zprávy ze všech kanálů kromě oficiálního kanálu Nomad: @nomadxyz_

— Nomad (⤭⛓?) (@nomadxyz_) Srpna 2, 2022

Podle DefillamaCelková uzamčená hodnota Nomad se během několika posledních hodin zhroutila z 190.38 milionů dolarů na 5,336 XNUMX dolarů.

Nomad je nejnovějším útokem na token bridge v tomto roce po významných útocích na Ronin Bridge, Wormhole a Harmonie.