Tech

Ang mga white hat hackers ay nagbalik ng $32.6M na halaga ng mga token sa Nomad bridge

08/08/2022
Balita ng Ethereum ng Bitcoin

Ilang oras lamang pagkatapos ng Nomad token bridge nai-publish isang Ethereum wallet address noong nakaraang linggo para sa pagbabalik ng mga pondo kasunod ng $190 milyon na hack, ang mga whitehat hackers ay nagbalik ng humigit-kumulang $32.6 milyon na halaga ng mga pondo. Ang karamihan sa mga pondo ay binubuo ng mga stablecoin na USD Coin (USDC), Tether (USDT) at Frax, kasama ang mga altcoin. 

Imahen

Ayon sa pananaliksik na inilathala ni Paul Hoffman ng BestBrokers, ang kahinaan ng Nomad protocol ay na-highlight sa kamakailang pag-audit ng Nomad ng Quantstamp noong Hunyo 6 at itinuring na "Low Risk." Sa sandaling natuklasan ang pagsasamantala, ang mga miyembro ng publiko ay sumali sa pag-atake sa pamamagitan ng pagkopya ng pag-paste sa paunang transaksyon sa pag-hack, na katulad ng isang "desentralisadong pagnanakaw." Mahigit sa $190 milyong halaga ng mga cryptocurrencies ang naubos mula sa Nomad sa loob ng wala pang tatlong oras.

Ang pag-atake ay dumating apat na buwan lamang matapos ang proyekto ay makalikom ng $22.4 milyon sa isang seed round noong Abril. Tulad ng sinabi ni Hoffman, sinamantala ng pag-atake ang isang maling inisyal na Merkle root, na ginagamit sa mga cryptocurrencies upang matiyak na ang mga bloke ng data na ipinadala sa pamamagitan ng isang peer-to-peer na network ay buo at hindi nababago. Awtomatikong napatunayan ng isang error sa programming na wasto ang anumang mensahe ng transaksyon.

Nauugnay: Iniulat na hindi pinansin ng Nomad ang kahinaan sa seguridad na humantong sa $190M na pagsasamantala

Gayunpaman, hindi lahat ng mga kalahok ng heist ay nagsasamantala sa pagkakataon. Halos kaagad pagkatapos magsimula ang pag-hack, kinopya ng mga whitehat hackers ang parehong hash ng transaksyon gaya ng orihinal na hacker upang mag-withdraw ng mga pondo para sa kanilang ligtas na pagbabalik. Sa kabaligtaran, ginamit ng isang hacker ang kanilang Ethereum Domain Name upang magluto ang mga ninakaw na pondo, na humahantong sa posibilidad ng cross-verification gamit ang Know-Your-Customer information na gumagamit din ng domain.