Οι χάκερ αποστραγγίζουν σχεδόν 200 εκατομμύρια δολάρια από την εκκίνηση κρυπτογράφησης Nomad

Οι χάκερ αποστράγγισαν σχεδόν 200 εκατομμύρια δολάρια σε κρυπτονομίσματα από το Nomad, ένα εργαλείο που επιτρέπει στους χρήστες να ανταλλάσσουν διακριτικά από το ένα blockchain στο άλλο, σε μια ακόμη επίθεση που τονίζει τις αδυναμίες στον αποκεντρωμένο χρηματοοικονομικό χώρο.

Ο Nomad αναγνώρισε το κατόρθωμα σε ένα tweet αργά τη Δευτέρα.

«Γνωρίζουμε το περιστατικό που αφορά τη γέφυρα Nomad», είπε η startup. "Αυτήν τη στιγμή διερευνούμε και θα παρέχουμε ενημερώσεις όταν τις έχουμε."

Δεν είναι απολύτως σαφές πώς οργανώθηκε η επίθεση ή εάν το Nomad σχεδιάζει να αποζημιώσει τους χρήστες που έχασαν μάρκες στην επίθεση. Η εταιρεία, η οποία εμπορεύεται ως υπηρεσία «ασφαλούς ανταλλαγής μηνυμάτων μεταξύ των αλυσίδων», δεν ήταν άμεσα διαθέσιμη για σχόλια όταν επικοινωνήθηκε από το CNBC.

Οι ειδικοί σε θέματα ασφάλειας του Blockchain περιέγραψαν την εκμετάλλευση ως «δωρεάν για όλους». Οποιοσδήποτε γνωρίζει το exploit και τον τρόπο λειτουργίας του, θα μπορούσε να εκμεταλλευτεί το ελάττωμα και να αποσύρει ένα ποσό από μάρκες από το Nomad - κάτι σαν μια ταμειακή μηχανή που εκτοξεύει χρήματα με το πάτημα ενός κουμπιού.

Ξεκίνησε με μια αναβάθμιση στον κωδικό του Nomad. Ένα μέρος του κωδικού επισημάνθηκε ως έγκυρο κάθε φορά που οι χρήστες αποφάσιζαν να ξεκινήσουν μια μεταφορά, κάτι που επέτρεπε στους κλέφτες να αποσύρουν περισσότερα περιουσιακά στοιχεία από όσα είχαν κατατεθεί στην πλατφόρμα. Μόλις οι άλλοι επιτιθέμενοι αντιμετώπισαν αυτό που συνέβαινε, ανέπτυξαν στρατιές από ρομπότ για να πραγματοποιήσουν επιθέσεις αντιγραφής.

«Χωρίς προηγούμενη εμπειρία προγραμματισμού, οποιοσδήποτε χρήστης θα μπορούσε απλώς να αντιγράψει τα αρχικά δεδομένα κλήσης συναλλαγών των εισβολέων και να αντικαταστήσει τη διεύθυνση με τη δική του για να εκμεταλλευτεί το πρωτόκολλο», δήλωσε ο Victor Young, ιδρυτής και επικεφαλής αρχιτέκτονας της κρυπτογράφησης Analog.

«Σε αντίθεση με προηγούμενες επιθέσεις, η εισβολή του Nomad έγινε δωρεάν για όλους, όπου πολλοί χρήστες άρχισαν να αποστραγγίζουν το δίκτυο αναπαράγοντας απλώς τα αρχικά δεδομένα κλήσης συναλλαγών των εισβολέων».

Ο Sam Sun, ερευνητικός συνεργάτης στην επενδυτική εταιρεία Paradigm που εστιάζει στην κρυπτογράφηση, περιγράφεται το exploit ως «ένα από τα πιο χαοτικά hack που έχει δει ποτέ το Web3» — το Web3 είναι μια υποθετική μελλοντική επανάληψη του Διαδικτύου που βασίζεται στην τεχνολογία blockchain.

Το Nomad είναι αυτό που είναι γνωστό ως «γέφυρα», ένα εργαλείο που επιτρέπει στους χρήστες να ανταλλάσσουν διακριτικά και πληροφορίες μεταξύ διαφορετικών δικτύων κρυπτογράφησης. Χρησιμοποιούνται ως εναλλακτική λύση για την πραγματοποίηση συναλλαγών απευθείας σε ένα blockchain όπως Ethereum, το οποίο μπορεί να χρεώσει στους χρήστες υψηλές χρεώσεις επεξεργασίας όταν υπάρχουν πολλές δραστηριότητες ταυτόχρονα.

Περιπτώσεις τρωτών σημείων και κακής σχεδίασης έχουν καταστήσει τις γέφυρες πρωταρχικό στόχο για τους χάκερ που επιδιώκουν να εξαπατήσουν επενδυτές από εκατομμύρια. Περισσότερα από 1 δισεκατομμύριο δολάρια σε περιουσιακά στοιχεία κρυπτογράφησης έχουν κλαπεί μέσω bridge exploits μέχρι στιγμής το 2022, σύμφωνα με έκθεση της εταιρείας συμμόρφωσης με τα κρυπτονομίσματα Elliptic.

Τον Απρίλιο, μια γέφυρα blockchain που ονομάζεται Ronin χρησιμοποιήθηκε σε α Ληστεία κρυπτογράφησης 600 εκατομμυρίων δολαρίων, την οποία αξιωματούχοι των ΗΠΑ αποδίδουν έκτοτε στο κράτος της Βόρειας Κορέας. Μερικούς μήνες αργότερα, η Harmony, μια άλλη γέφυρα, αποστραγγίστηκε 100 εκατομμύρια δολάρια σε μια παρόμοια επίθεση.

Όπως το Ronin και το Harmony, το Nomad στοχοποιήθηκε λόγω ενός ελαττώματος στον κώδικά του — αλλά υπήρχαν μερικές διαφορές. Με αυτές τις επιθέσεις, οι χάκερ μπόρεσαν να ανακτήσουν τα ιδιωτικά κλειδιά που απαιτούνταν για να αποκτήσουν τον έλεγχο του δικτύου και να αρχίσουν να βγάζουν διακριτικά. Στην περίπτωση του Nomad, ήταν πολύ πιο απλό από αυτό. Μια τακτική ενημέρωση της γέφυρας επέτρεψε στους χρήστες να πλαστογραφούν συναλλαγές και να αποκομίσουν κρυπτογράφηση αξίας εκατομμυρίων.