Nomad Bridge lider av $190 miljoner förluster i kaotiska copy-paste attack

Under de tidiga timmarna den 2 augusti skickade Nomad bridge en varning om att den var medveten om en pågående exploatering. Under de följande timmarna tömdes hela protokollets medel på mer än 190 miljoner dollar.

Crypto community-utvecklare och white hat 'samczsun' bröt ner händelsekedjan och förklarade vad som hände. Han stämplade attacken som "ett av de mest kaotiska hack som Web3 någonsin har sett."

1/ Nomad har precis blivit dränerad för över 150 miljoner dollar i ett av de mest kaotiska hack som Web3 någonsin har sett. Hur gick det till och vad var grundorsaken? Tillåt mig att ta dig bakom kulisserna? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) Augusti 1, 2022

Nomad är en symbolbro för överföringar mellan kedjor Ethereum, Avalanche, Milkomeda och Moonbeam.

Nomadfonder dränerade

Forskare delade en tweet i kanalen ETHSecurity Telegram som visar flera transaktioner av medel som lämnar bron. Vid första anblicken verkade det vara en felaktig konfiguration i token decimaler, men samczsun upptäckte:

"Men efter lite smärtsamt manuellt grävande på Moonbeam-nätverket, bekräftade jag att medan Moonbeam-transaktionen överbryggade 0.01 WBTC, överbryggade Ethereum-transaktionen på något sätt 100 WBTC."

Det som gör detta utnyttjande annorlunda är att transaktionerna inte "bevisades" och utfördes direkt. "Att kunna bearbeta ett meddelande utan att bevisa det först är extremt inte bra", sa samczsun. Kodaren grävde lite mer och hittade ett fatalt fel i det smarta kontraktet "Replica" som initierades under en rutinmässig Nomad-uppgradering.

Han tillade att detta var kaotiskt eftersom kryptotjuvarna inte behövde någon teknisk kunskap. De behövde bara hitta en transaktion som fungerade, ersätta måladressen med sin egen och sända den igen.

"En rutinuppgradering markerade noll-hash som en giltig rot, vilket hade effekten av att tillåta att meddelanden förfalskades på Nomad. Angripare missbrukade detta för att kopiera/klistra in transaktioner och dränerade snabbt bron i ett frenetiskt fritt för alla.”

TVL till noll

Nomad har till och med upptäckt bedrägliga adresser som försöker stjäla pengar som returnerats till bron.

Vi är medvetna om imitatörer som utger sig för att vara Nomad och tillhandahåller falska adresser för att samla in pengar. Vi ger ännu inga instruktioner för att återbetala bridge-medel. Bortse från meddelanden från alla andra kanaler än Nomads officiella kanal: @nomadxyz_

— Nomad (⤭⛓?) (@nomadxyz_) Augusti 2, 2022

Enligt Defi Lama, Nomads totala värde låst har kraschat från $190.38 miljoner till $5,336 XNUMX under de senaste timmarna.

Nomad är den senaste token bridge attacken i år efter de högprofilerade bedrifterna från Ronin Bridge, Wormhole och Harmoni.