Nomad Bridge kärsii 190 miljoonan dollarin tappiosta kaoottisesta kopioi-liitähyökkäyksestä

Aamulla 2. elokuuta Nomad Bridge lähetti hälytyksen, että se oli tietoinen meneillään olevasta hyväksikäytöstä. Seuraavien tuntien aikana koko pöytäkirjan varat, yli 190 miljoonaa dollaria, tyhjennettiin.

Kryptoyhteisön kehittäjä ja valkoinen hattu "samczsun" katkaisivat tapahtumaketjun selittäen tapahtuneen. Hän kuvaili hyökkäystä "yhdeksi kaoottisimmista hakkeroista, jonka Web3 on koskaan nähnyt".

1/ Nomad sai juuri yli 150 miljoonalla dollarilla yhden kaoottisimman Web3:n koskaan näkemän hakkeroinnin. Miten tämä tarkalleen ottaen tapahtui ja mikä oli perimmäinen syy? Saanko viedä sinut kulissien taakse? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Elokuu 1, 2022

Nomad on merkkisilta ketjujen välisille siirroille Ethereum, Avalanche, Milkomeda ja Moonbeam.

Nomadin varat tyhjennetty

Tutkijat jakoivat ETHSecurity Telegram -kanavalla twiitin, jossa näkyy useita sillalta lähteviä varoja. Ensi silmäyksellä vaikutti siltä, ​​että se oli virheellinen desimaalien määritys, mutta samczsun havaitsi:

"Kuitenkin tuskallisen manuaalisen Moonbeam-verkon kaivamisen jälkeen vahvistin, että vaikka Moonbeam-transaktio ohitti 0.01 WBTC:tä, Ethereum-tapahtuma sai jotenkin sillan 100 WBTC:hen."

Tämän hyväksikäytön tekee erilaiseksi se, että tapahtumia ei "todistettu" ja suoritettu suoraan. "Voima käsitellä viestiä todistamatta sitä ensin ei ole äärimmäisen hyvä", sanoi samczsun. Koodaaja kaiveli lisää ja löysi kohtalokkaan virheen "Replica"-älysopimuksessa, joka alustettiin rutiininomaisen Nomad-päivityksen aikana.

Hän lisäsi, että tämä oli kaoottista, koska kryptovarkaat eivät tarvinneet teknistä tietoa. Heidän täytyi vain löytää toimiva tapahtuma, korvata kohdeosoite omalla ja lähettää se uudelleen.

"Rutiinipäivitys merkitsi nollahajautusarvon kelvolliseksi juuriksi, mikä vaikutti siihen, että viestit voitiin huijata Nomadille. Hyökkääjät käyttivät tätä väärin kopioidakseen/liittääkseen tapahtumia ja tyhjennivät nopeasti sillan kiihkeänä, kaikille ilmaiseksi.

TVL nollaan

Nomad on jopa löytänyt petollisia osoitteita, joissa yritetään varastaa sillalle palautettuja varoja.

Olemme tietoisia matkijoista, jotka esiintyvät Nomadina ja antavat vilpillisiä osoitteita varojen keräämiseksi. Emme vielä anna ohjeita siltavarojen palauttamiseen. Jätä huomioimatta viestit kaikilta muilta kuin Nomadin viralliselta kanavalta: @nomadxyz_

— Nomad (⤭⛓?) (@nomadxyz_) Elokuu 2, 2022

Mukaan Defi Lama, Nomadin lukittu kokonaisarvo on pudonnut 190.38 miljoonasta dollarista 5,336 XNUMX dollariin muutaman viime tunnin aikana.

Nomad on viimeisin merkkisiltahyökkäys tänä vuonna Ronin-sillan, Wormholen ja Harmonia.