Над $190 милиона бяха източени от Nomad – ето как

Слабост в междублоковия мост Nomad доведе до загуба на на крипто на стойност милиони долари.

Мостът Nomad е протокол, който позволява на потребителите да прехвърлят цифрови активи между различни блокчейн вериги, включително Avalanche (AVAX), Етериум (ETH), Evmos (EVMOS), Milkomeda C1 и Moonbeam (GLMR).

Въпреки че подробностите от Nomad са оскъдни, някои посочват като причина грешка в конфигурацията на смарт договор, който Nomad използва за обработка на съобщения, което е позволило източването на милиони от ликвидния пул на Nomad. 

Първоначалните изходящи потоци от договора за мост на Nomad бяха съсредоточени върху обвити биткойни (WBTC), като бяха засегнати и притежания на обвити Етериум токени, а по-късно и на стабилната валута USDC. Изнесени са криптовалути на стойност $190 милиона.

Не е ясно също така дали атаката е дело на един участник или на няколко. Блокчейн данните предполагат, че транзакциите може да са били конструирани с цел да създадат впечатление за множество участници.

В момента официалната актуализация е, че сме наясно с това и активно го проучваме.

We are aware of the incident involving the Nomad token bridge. We are currently investigating and will provide updates when we have them.

— Nomad (⤭⛓?) (@nomadxyz_) August 1, 2022

Сам Сън, изследовател в крипто инвестиционната компания Paradigm, сподели как е забелязал атаката. 

Въпреки че нямах представа какво се случва по това време, самият обем на активите, които напускаха моста, беше очевидно лош знак.

„Оказа се, че по време на рутинно обновяване”, продължи Сън. 

Екипът на Nomad е инициализирал доверения руут като 0x00. За да бъдем ясни, използването на нулеви стойности като стойности за инициализация е често срещана практика. За съжаление, в този случай тя е имала малък страничен ефект – автоматично приемане на всяко съобщение.

Сън подчерта, че за използването на експлойта са били необходими малко технически познания. 

„Не е необходимо да знаете за Solidity, Merkle Trees или нещо подобно”, пише Сън. 

Всичко, което трябваше да направите, беше да намерите транзакция, която работи, да намерите/замените адреса на другото лице с вашия и след това да го разпространите отново.

Alexander Stefanov