Nomad Bridge utrpel stratu 190 miliónov dolárov v dôsledku chaotického kopírovania a prilepenia

V skorých hodinách 2. augusta Nomad bridge zverejnil upozornenie, že si je vedomý prebiehajúceho zneužitia. V nasledujúcich hodinách boli vyčerpané prostriedky celého protokolu vo výške viac ako 190 miliónov dolárov.

Vývojár krypto komunity a biely klobúk „samczsun“ prerušil reťazec udalostí a vysvetlil, čo sa stalo. Útok označil za „jeden z najchaotickejších hackov, ktoré Web3 kedy videl“.

1/ Nomad práve dostal viac ako 150 miliónov dolárov v jednom z najchaotickejších hackov, aké Web3 kedy videl. Ako sa to presne stalo a čo bolo hlavnou príčinou? Dovoľte mi vziať vás do zákulisia? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Augusta 1, 2022

Nomad je symbolický most pre krížové prevody medzi nimi Ethereum, Avalanche, Milkomeda a Moonbeam.

Nomad Funds vyčerpané

Výskumníci zdieľali tweet na kanáli ETHSecurity Telegram, ktorý ukazuje viacero transakcií finančných prostriedkov opúšťajúcich most. Na prvý pohľad sa zdalo, že ide o nesprávnu konfiguráciu v desatinných číslach, ale samczsun zistil:

"Po nejakom bolestivom manuálnom prekopávaní siete Moonbeam som však potvrdil, že zatiaľ čo transakcia Moonbeam premostila 0.01 WBTC, transakcia Ethereum nejako preklenula 100 WBTC."

To, čo robí tento exploit odlišný, je to, že transakcie neboli „dokázané“ a vykonané priamo. „Schopnosť spracovať správu bez toho, aby ste to najprv dokázali, je extrémne nevhodné,“ povedal samczsun. Kódovač urobil ďalšie kopanie a našiel fatálnu chybu v inteligentnej zmluve „Replica“, ktorá bola inicializovaná počas rutinnej aktualizácie Nomad.

Dodal, že to bolo chaotické, pretože krypto zlodeji nepotrebovali žiadne technické znalosti. Potrebovali len nájsť transakciu, ktorá fungovala, nahradiť cieľovú adresu svojou vlastnou a znova ju odoslať.

„Rutinná inovácia označila nulový hash za platný root, čo malo za následok, že správy mohli byť na Nomad sfalšované. Útočníci to zneužili na kopírovanie/vkladanie transakcií a rýchlo vyprázdnili most v šialenom voľnom čase,“

TVL na nulu

Nomad dokonca objavil podvodné adresy, ktoré sa pokúšali ukradnúť prostriedky vrátené na most.

Vieme o imitátoroch, ktorí vystupujú ako Nomad a poskytujú podvodné adresy na zhromažďovanie finančných prostriedkov. Zatiaľ neposkytujeme pokyny na vrátenie preklenovacích prostriedkov. Ignorujte správy zo všetkých kanálov okrem oficiálneho kanála Nomad: @nomadxyz_

— Nomád (⤭⛓?) (@nomadxyz_) Augusta 2, 2022

Podľa Defi lámaCelková zamknutá hodnota Nomad sa za posledných pár hodín zrútila zo 190.38 milióna dolárov na 5,336 XNUMX dolárov.

Nomad je posledným útokom na symbolický most v tomto roku, ktorý nasleduje po významných útokoch na most Ronin, Wormhole a Harmónia.