Nomad Token Bridge нападнат за $190 милиона в „Frenzied Free-For-All“

Token bridge Nomad претърпя „неистов безплатен достъп до всички“, след като нападатели нахлуха в протокола за над 190 милиона долара в криптовалута.

Nomad, който се рекламира като платформа „на първо място със сигурността“ за изпращане на ERC-20 токени между съвместими блокчейни, потвърди нападението в туит във вторник сутринта.

Инцидентът се различава от други мащабни хакове за осакатяване на токен мостове тази година. Токен мостовете позволяват на потребителите на крипто да пренасят цифрови активи през мрежи, като първо ги заключват в интелигентен договор. 

След това мостът издава деривативен токен, „опакован актив“, от другата страна, с техните стойности, обезпечени с първоначалните им депозити. Nomad поддържа Ethereum, Avalanche, Evmos и Moonbeam.

Февруарският хак на Wormhole видя, че нападателите експлоатират бъгав код на интелигентен договор, за да изсекат 320 милиона долара в Wrapped Ether, без да публикуват необходимото обезпечение. 

Мостовата атака на Axie Infinite Ronin, разкрита през март, включваше продължила месеци фишинг кампания за придобиване на частни ключове, свързани с портфейла му с няколко подписа, което доведе до откраднати криптовалути на стойност около 625 милиона долара (и двата инцидента бяха оценени към момента на атаката).

Но Сам Сън, ръководител на отдела за сигурност във фирмата за инвестиции в дигитални активи Paradigm, обясни в нишка в Twitter, че крадците на Nomad не е трябвало да знаят нищо за програмния език на Ethereum Solidity, за да се измъкнат от потребителско обезпечение.

Хакерът на Rari Capital се върна, за да нападне Nomad

Разработчиците на Nomad случайно бяха прокарали рутинна надстройка, която каза на протокола да обработва всяка транзакция с основния хеш по подразбиране „0x00“, където обикновено блокчейн мрежите изискват уникален и специфичен корен като доказателство, че транзакцията е валидна.

Това означаваше, че Nomad ефективно ще одобри всяка транзакция, подадена към протокола. След като нападател осъзнае и инициира големи незаконни трансфери, други потребители просто копират-поставят своя скрипт за транзакция и заменят адреса на получателя със свой собствен, обясни Виктор Йънг, главен архитект в мрежата за оперативна съвместимост Analog.

За Йънг, ключово предимство на платформите за интелигентни договори, като тези, захранващи Nomad, е, че те са системи, пълни с Turing. Те могат да изчислят „почти всичко, което един модерен цифров компютър може да направи от математическа гледна точка“, каза Йънг.

„За съжаление, това въвежда безброй и неизвестни вектори на атака, които отварят интелигентния договор за хакове“, каза Йънг пред Blockworks. „Когато комбинирате това с небрежни разработчици, които не успяват да внедрят стабилен набор от механизми за тестване, получавате нелепия срив, на който сме свидетели в момента.“