Nomad Bridge erleidet 190 Millionen Dollar Verlust durch chaotischen Copy-Paste-Angriff

— samczsun (@samczsun) 1. August 2022

Nomad ist eine Token-Bridge für Cross-Chain-Transfers zwischen Ethereum, AvalancheMilkomeda und Moonbeam.

Nomadengelder aufgebraucht

Forscher teilten einen Tweet im ETHSecurity Telegram-Kanal, der mehrere Transaktionen von Geldern zeigt, die die Brücke verlassen. Auf den ersten Blick schien es eine Fehlkonfiguration in Token-Dezimalzahlen zu sein, aber samczsun entdeckte:

„Nach einigem schmerzhaften manuellen Graben im Moonbeam-Netzwerk bestätigte ich jedoch, dass die Moonbeam-Transaktion zwar 0,01 WBTC überbrückt hat, aber irgendwie die Ethereum Transaktion in 100 WBTC überbrückt.“

Das Besondere an diesem Exploit ist, dass die Transaktionen nicht „bewiesen“ und direkt ausgeführt wurden. „In der Lage zu sein, eine Nachricht zu verarbeiten, ohne sie vorher zu beweisen, ist extrem nicht gut“, sagte Samczsun. Der Programmierer forschte weiter und fand einen schwerwiegenden Fehler im „Replica“-Smart-Contract, der während eines routinemäßigen Nomad-Upgrades initialisiert wurde.

Er fügte hinzu, dass dies chaotisch sei, da die Kryptodiebe keinerlei technisches Wissen benötigten. Sie mussten nur eine Transaktion finden, die funktionierte, die Zieladresse durch ihre eigene ersetzen und sie erneut übertragen.

„Ein routinemäßiges Upgrade markierte den Null-Hash als gültiges Root, was dazu führte, dass Nachrichten auf Nomad gefälscht werden konnten. Angreifer missbrauchten dies zum Kopieren/Einfügen von Transaktionen und leerten die Brücke in einem hektischen Free-for-all.“

TVL auf Null

Nomad hat sogar betrügerische Adressen entdeckt, die versuchen, an die Brücke zurückgegebene Gelder zu stehlen.

Uns sind Imitatoren bekannt, die sich als Nomaden ausgeben und betrügerische Adressen angeben, um Geld zu sammeln. Wir stellen noch keine Anweisungen zur Rückgabe von Überbrückungsgeldern zur Verfügung. Ignorieren Sie Mitteilungen von allen Kanälen außer dem offiziellen Kanal von Nomad: @nomadxyz_

— Nomade (⤭⛓🏛) (@nomadxyz_) 2. August 2022

Entsprechend DefiLlamaist der gesperrte Gesamtwert von Nomad in den letzten Stunden von 190,38 Millionen Dollar auf 5.336 Dollar eingebrochen.

Nomad ist der neueste Token-Bridge-Angriff in diesem Jahr nach den hochkarätigen Exploits von Ronin Bridge, Wormhole und Harmonie.

                                    <script async src="https://platform.twitter.com/widgets.js" charset="utf-8"></script>