Το Nomad Bridge υφίσταται απώλεια 190 εκατομμυρίων δολαρίων σε χαοτική επίθεση αντιγραφής-επικόλλησης

Τα ξημερώματα της 2ας Αυγούστου, η γέφυρα Nomad δημοσίευσε μια ειδοποίηση ότι γνώριζε μια συνεχιζόμενη εκμετάλλευση. Τις επόμενες ώρες, όλα τα κεφάλαια του πρωτοκόλλου άνω των 190 εκατομμυρίων δολαρίων εξαντλήθηκαν.

Ο προγραμματιστής της κοινότητας Crypto και το white hat 'samczsun' διέλυσε την αλυσίδα των γεγονότων, εξηγώντας τι συνέβη. Χαρακτήρισε την επίθεση ως «ένα από τα πιο χαοτικά hack που έχει δει ποτέ το Web3».

1/ Το Nomad μόλις εξαντλήθηκε για πάνω από 150 εκατομμύρια δολάρια σε ένα από τα πιο χαοτικά hack που έχει δει ποτέ το Web3. Πώς ακριβώς συνέβη αυτό και ποια ήταν η βασική αιτία; Επιτρέψτε μου να σας πάω στα παρασκήνια; pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Αύγουστος 1, 2022

Το Nomad είναι μια συμβολική γέφυρα για διασταυρούμενες αλυσίδες μεταξύ τους Ethereum, Χιονοστιβάδα, Milkomeda και Moonbeam.

Τα κεφάλαια του Nomad εξαντλήθηκαν

Οι ερευνητές μοιράστηκαν ένα tweet στο κανάλι ETHSecurity Telegram που δείχνει πολλαπλές συναλλαγές κεφαλαίων που φεύγουν από τη γέφυρα. Με την πρώτη ματιά, φαινόταν ότι ήταν μια εσφαλμένη διαμόρφωση των δεκαδικών ψηφίων, αλλά η samczsun ανακάλυψε:

"Ωστόσο, μετά από κάποια επίπονη χειροκίνητη έρευνα στο δίκτυο της Moonbeam, επιβεβαίωσα ότι ενώ η συναλλαγή Moonbeam γεφύρωσε το 0.01 WBTC, κατά κάποιο τρόπο η συναλλαγή Ethereum γεφύρωσε σε 100 WBTC."

Αυτό που κάνει αυτό το exploit διαφορετικό είναι ότι οι συναλλαγές δεν «αποδείχθηκαν» και δεν εκτελέστηκαν απευθείας. «Το να μπορείς να επεξεργαστείς ένα μήνυμα χωρίς να το αποδείξεις πρώτα δεν είναι καλό», είπε ο samczsun. Ο κωδικοποιητής έκανε λίγο ακόμα σκάψιμο και βρήκε ένα μοιραίο ελάττωμα στο έξυπνο συμβόλαιο «Replica» που αρχικοποιήθηκε κατά τη διάρκεια μιας τακτικής αναβάθμισης του Nomad.

Πρόσθεσε ότι αυτό ήταν χαοτικό γιατί οι κλέφτες κρυπτογράφησης δεν χρειάζονταν καμία τεχνική γνώση. Απλώς έπρεπε να βρουν μια συναλλαγή που να λειτουργούσε, να αντικαταστήσουν τη διεύθυνση στόχο με τη δική τους και να την αναμεταδώσουν.

«Μια τακτική αναβάθμιση επισήμανε το μηδενικό κατακερματισμό ως έγκυρη ρίζα, η οποία είχε ως αποτέλεσμα να επιτρέπεται η πλαστογράφηση μηνυμάτων στο Nomad. Οι επιτιθέμενοι το έκαναν κατάχρηση για να αντιγράψουν/επικολλήσουν συναλλαγές και γρήγορα αποστράγγισαν τη γέφυρα σε ένα φρενήρειο ελεύθερο για όλους».

TVL έως μηδέν

Το Nomad έχει ανακαλύψει ακόμη και δόλιες διευθύνσεις που προσπαθούν να κλέψουν χρήματα που επιστράφηκαν στη γέφυρα.

Γνωρίζουμε τους μιμητές που παρουσιάζονται ως Nomad και παρέχουν δόλιες διευθύνσεις για τη συλλογή χρημάτων. Δεν παρέχουμε ακόμη οδηγίες για την επιστροφή κεφαλαίων γέφυρας. Παράβλεψη σχολίων από όλα τα κανάλια εκτός από το επίσημο κανάλι του Nomad: @nomadxyz_

— Nomad (⤭⛓;) (@nomadxyz_) Αύγουστος 2, 2022

Σύμφωνα με Ντέφι Λάμα, η συνολική αξία του Nomad που κλειδώθηκε έχει πέσει από 190.38 εκατομμύρια δολάρια σε 5,336 δολάρια τις τελευταίες ώρες.

Το Nomad είναι η τελευταία συμβολική επίθεση σε γέφυρα φέτος μετά από τα υψηλού προφίλ κατορθώματα της γέφυρας Ronin, της Wormhole και της Wormhole και Αρμονία.