Nomads broexploatering på 190 miljoner dollar drog till sig hackning av 300 adresser

Medan de flesta kryptohack orsakas av ensamvargar, verkar måndagens 190 miljoner dollar utnyttjande av Nomad-korsbron ha drivits av ett matande frenesi av hundratals dåliga skådespelare. 

Nomads tvärkedjebrygga hackades för 190 miljoner dollar i olika kryptotillgångar igår efter att en mjukvaruuppdatering avslöjade en kritisk sårbarhet som gjorde det möjligt för vem som helst att tappa pengar från bron. 

Sårbarheten upptäcktes först på måndagen av en okänd hackare som snabbt stal nästan $ 95 miljoner, sa blockchain-säkerhetsföretaget PeckShield till The Block idag. När nyheten om den första exploateringen spreds i kryptokretsar skyndade andra sig att ansluta sig till den ursprungliga hackaren för att ta pengar åt sig själva. 

PeckShield berättade för The Block att mer än 300 adresser hade tagit pengar från Nomad under loppet av en timme. Företaget uppskattade att 41 av dem tog 152 miljoner dollar, motsvarande 80 % av de stulna medlen från Nomads tvärkedjade bro.

Men alla var inte dåliga skådespelare. PeckShields analys hittade minst sex adresser som var vita hackare, ett namn som gavs till etiska hackare, som tog omkring 8.2 miljoner dollar från bron. De förväntas lämna tillbaka pengarna.

Nomad är en tvärkedjebrygga, ett verktyg som låter användare flytta ERC-20-tokens mellan Ethereum, Moonbeam, Evmos och Avalanche. Det är en av flera bryggtjänster som finns tillgängliga i kryptorymden.

Vad gick fel

Enligt PeckShield introducerades sårbarheten av Nomad-utvecklare under en smart kontraktsuppdatering. Felet kom från att utvecklarna felaktigt modifierade bryggans smarta kontrakt och distribuerade koden utan ordentlig granskning.

"Nomad bridge hacket är möjlig på grund av en felaktig initiering som leder till att nolladressen (0x00) markeras som en betrodd rot, vilket ledde till att varje meddelande bevisades giltigt som standard", sa PeckShield. 

Märkning 0x00 (kallas även som noll adress) den betrodda roten av misstag stängde av en smart kontraktskontroll som säkerställde att uttag endast gjordes till giltiga adresser.

Efter att sårbarheten introducerades i Nomads kod ansågs uttagsbegäranden från valfri adress som giltiga som standard. Det innebar att vem som helst kunde ta ut pengar från bron om de ville.

Exploateringen krävde inte avancerad teknisk kunskap om smarta kontrakt. Allt man behövde göra var att helt enkelt redigera hackarens transaktion med Etherscan, ersätta destinationsadressen med sin egen adress och göra uttagsbegäran på Nomad-bryggan. 

© 2022 The Block Crypto, Inc. Alla rättigheter förbehållna. Den här artikeln är endast avsedd för informationsändamål. Det erbjuds inte eller är avsett att användas som juridisk, skatt, investering, finansiell eller annan rådgivning.