Exploit mostowy Nomada o wartości 190 milionów dolarów przyciągnął szaleństwo ataków hakerskich na 300 adresów

Podczas gdy większość włamań do kryptowalut jest powodowanych przez samotne wilki, wydaje się, że poniedziałkowy eksploatacja mostu krzyżowego Nomad o wartości 190 milionów dolarów była napędzana przez szaleństwo setek złych aktorów. 

Most krzyżowy Nomada został wczoraj zhakowany za 190 milionów dolarów w różnych aktywach kryptograficznych po tym, jak aktualizacja oprogramowania ujawniła krytyczną lukę, która pozwoliła każdemu na wyprowadzenie środków z mostu. 

Luka została początkowo odkryta w poniedziałek przez nieznanego hakera, który szybko ukradł prawie $ 95 mln, firma PeckShield zajmująca się bezpieczeństwem blockchain powiedziała dziś The Block. Gdy wiadomość o początkowym exploitu rozeszła się w kręgach kryptograficznych, inni pospieszyli, aby dołączyć do oryginalnego hakera, aby wziąć pieniądze dla siebie. 

PeckShield powiedział The Block, że ponad 300 adresów pobrało fundusze od Nomada w ciągu godziny. Firma oszacowała, że ​​41 z nich wzięło 152 miliony dolarów, co odpowiada 80% skradzionych środków z mostu krzyżowego Nomada.

Jednak nie wszyscy byli złymi aktorami. PeckShield analiza znaleźli co najmniej sześć adresów, które były białymi hakerami, nazwa nadana etycznym hakerom, którzy zdobyli około 8.2 miliona dolarów z mostu. Oczekuje się od nich zwrotu środków.

Nomad to most krzyżowy, narzędzie, które pozwala użytkownikom przenosić tokeny ERC-20 między Ethereum, Moonbeam, Evmos i Avalanche. Jest to jedna z kilku usług mostowych dostępnych w przestrzeni kryptograficznej.

Co poszło nie tak

Według PeckShield, luka została wprowadzona przez programistów Nomad podczas aktualizacji inteligentnego kontraktu. Błąd pochodzi od programistów, którzy błędnie modyfikują inteligentną umowę mostu i wdrażają kod bez odpowiedniego audytu.

„Zhakowanie mostu Nomad jest możliwe dzięki niewłaściwej inicjalizacji prowadzącej do oznaczenia adresu zerowego (0x00) jako zaufanego katalogu głównego, co doprowadziło do tego, że każda wiadomość domyślnie okazała się ważna” – powiedział PeckShield. 

Cechowanie 0x00 (zwany także zerowy adres) zaufany root przypadkowo wyłączono inteligentne sprawdzanie kontraktów, które zapewniało, że wypłaty były dokonywane tylko na ważne adresy.

Po wprowadzeniu luki w kodzie Nomada żądania wypłaty z dowolnego adresu były domyślnie uznawane za ważne. Oznaczało to, że każdy mógł wypłacić środki z mostu, jeśli chciał.

Exploit nie wymagał zaawansowanej wiedzy technicznej na temat inteligentnych kontraktów. Wystarczyło po prostu edytować transakcję hakera za pomocą Etherscan, zastąpić adres docelowy własnym adresem i złożyć wniosek o wypłatę na moście Nomad. 

© 2022 The Block Crypto, Inc. Wszelkie prawa zastrzeżone. Ten artykuł służy wyłącznie celom informacyjnym. Nie jest oferowany ani przeznaczony do wykorzystania jako porady prawne, podatkowe, inwestycyjne, finansowe lub inne.