Nomad Bridge понес убытки в размере 190 миллионов долларов в результате хаотической атаки Copy-Paste

Ранним утром 2 августа Nomad bridge опубликовал предупреждение о продолжающемся эксплойте. В последующие часы все средства протокола в размере более 190 миллионов долларов были истощены.

Разработчик криптосообщества и белая шляпа samczsun разорвали цепочку событий, объяснив, что произошло. Он назвал атаку «одним из самых хаотичных взломов, которые когда-либо видел Web3».

1/ Nomad только что потерял более 150 миллионов долларов в результате одного из самых хаотичных взломов, которые когда-либо видел Web3. Как именно это произошло и в чем была основная причина? Позвольте мне провести вас за кулисы? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) 1 августа 2022

Nomad — это токен-мост для межсетевых переводов между Эфириум, Avalanche, Milkomeda и Moonbeam.

Фонды кочевников истощены

Исследователи поделились твитом в Telegram-канале ETHSecurity, показывающим несколько транзакций средств, покидающих мост. На первый взгляд это выглядело как неправильная конфигурация десятичных знаков токена, но samczsun обнаружил:

«Однако после мучительного ручного копания в сети Moonbeam я подтвердил, что, хотя транзакция Moonbeam действительно перекинула 0.01 WBTC, транзакция Ethereum каким-то образом перешла на 100 WBTC».

Что отличает этот эксплойт, так это то, что транзакции не были «доказаны» и выполнялись напрямую. «Возможность обработать сообщение, не доказав его сначала, крайне нехорошо», — сказал samczsun. Кодировщик еще немного покопался и обнаружил фатальную ошибку в смарт-контракте «Реплика», инициализированном во время обычного обновления Nomad.

Он добавил, что это было хаотично, потому что похитителям криптовалюты не нужны были какие-либо технические знания. Им просто нужно было найти сработавшую транзакцию, заменить целевой адрес на свой и ретранслировать ее.

«Обычное обновление пометило нулевой хеш как действительный корень, что позволило подделать сообщения на Nomad. Злоумышленники воспользовались этим для копирования/вставки транзакций и быстро опустошили мост в бешеной игре «все для всех».

ТВЛ к нулю

Nomad даже обнаружил мошеннические адреса, пытающиеся украсть средства, возвращаемые на мост.

Нам известно о мошенниках, выдающих себя за кочевников и предоставляющих мошеннические адреса для сбора средств. Мы еще не предоставляем инструкции по возврату промежуточных средств. Игнорируйте сообщения со всех каналов, кроме официального канала Nomad: @nomadxyz_

— Кочевник (⤭⛓?) (@nomadxyz_) 2 августа 2022

По Дефиллама, общая заблокированная стоимость Nomad упала со 190.38 млн долларов до 5,336 долларов за последние несколько часов.

Nomad — это последняя атака на токен-бридж в этом году после громких эксплойтов Моста Ронинов, Червоточины и Гармония.