Ang Nomad Bridge ay Nagdusa ng $190M na Pagkalugi sa Magulong Copy-Paste Attack

Sa mga unang oras ng Agosto 2, ang Nomad bridge ay nag-post ng isang alerto na alam nito ang isang patuloy na pagsasamantala. Sa mga sumunod na oras, naubos ang pondo ng buong protocol na higit sa $190 milyon.

Sinira ng developer ng komunidad ng Crypto at white hat 'samczsun' ang hanay ng mga kaganapan, na nagpapaliwanag kung ano ang nangyari. Binansagan niya ang pag-atake bilang "isa sa mga pinaka-magulong hack na nakita ng Web3."

1/ Naubos lang ang Nomad ng higit sa $150M sa isa sa mga pinaka-magulong hack na nakita ng Web3. Paano eksaktong nangyari ito, at ano ang ugat na sanhi? Payagan akong dalhin ka sa likod ng mga eksena? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Agosto 1, 2022

Ang Nomad ay isang token bridge para sa mga cross-chain na paglilipat sa pagitan Ethereum, Avalanche, Milkomeda, at Moonbeam.

Naubos ang mga Pondo ng Nomad

Ibinahagi ng mga mananaliksik ang isang tweet sa channel ng ETHSecurity Telegram na nagpapakita ng maraming transaksyon ng mga pondo na umaalis sa tulay. Sa unang tingin, ito ay tila isang maling configuration sa mga token decimal, ngunit natuklasan ni samczsun:

"Gayunpaman, pagkatapos ng ilang masakit na manu-manong paghuhukay sa Moonbeam network, kinumpirma ko na habang ang transaksyon ng Moonbeam ay nag-bridge out sa 0.01 WBTC, kahit papaano ay na-bridge ang Ethereum na transaksyon sa 100 WBTC."

Ang pinagkaiba ng pagsasamantalang ito ay ang mga transaksyon ay hindi 'napatunayan' at direktang naisakatuparan. "Ang kakayahang magproseso ng isang mensahe nang hindi pinatutunayan muna ito ay lubhang Hindi Maganda," sabi ni samczsun. Ang coder ay gumawa pa ng ilang paghuhukay at nakakita ng isang nakamamatay na depekto sa 'Replica' na smart contract na sinimulan sa panahon ng isang regular na pag-upgrade ng Nomad.

Idinagdag niya na ito ay magulo dahil ang mga magnanakaw ng crypto ay hindi nangangailangan ng anumang teknikal na kaalaman. Kailangan lang nilang maghanap ng transaksyon na gumana, palitan ang target na address ng kanilang sarili, at muling i-broadcast ito.

"Ang isang regular na pag-upgrade ay minarkahan ang zero hash bilang isang wastong ugat, na nagkaroon ng epekto ng pagpayag sa mga mensahe na ma-spoof sa Nomad. Inabuso ito ng mga umaatake para kopyahin/i-paste ang mga transaksyon at mabilis na pinatuyo ang tulay sa isang galit na galit na libre-para-sa-lahat,"

TVL hanggang Zero

Natuklasan pa ng Nomad ang mga mapanlinlang na address na nagtatangkang magnakaw ng mga pondo na ibinalik sa tulay.

Alam namin ang mga impersonator na nagpapanggap bilang Nomad at nagbibigay ng mga mapanlinlang na address para mangolekta ng mga pondo. Hindi pa kami nagbibigay ng mga tagubilin upang ibalik ang mga pondo ng tulay. Huwag pansinin ang mga comm mula sa lahat ng channel maliban sa opisyal na channel ng Nomad: @nomadxyz_

— Nomad (⤭⛓?) (@nomadxyz_) Agosto 2, 2022

Ayon sa Defi Llama, ang kabuuang halaga ng Nomad na naka-lock ay bumagsak mula $190.38 milyon hanggang $5,336 sa nakalipas na ilang oras.

Ang Nomad ay ang pinakabagong token bridge attack sa taong ito kasunod ng mataas na profile na pagsasamantala ng Ronin Bridge, Wormhole, at Pagkakatugma.