Viename iš didžiausių įsilaužimų nuo Axie Infinity's Ronino tilto šoninė grandinė kovą, išnaudojimas ant Nomad žetonų tilto leido užpuolikams apiplėšti tiltą maždaug 190 mln.
Apsaugos įmonė „PeckShield“ pranešė Atšaukti kad pavogtos lėšos buvo denominuotos Ethereum, USDC, DAI, FXS ir CQT.
„Mes žinome apie incidentą, susijusį su klajoklių tiltu. Šiuo metu tiriame ir pateiksime atnaujinimus, kai juos turėsime“, – sakė Nomadas tweeted Pirmadienio popietę.
Mes žinome apie incidentą, susijusį su klajoklių tiltu. Šiuo metu tiriame ir pateiksime atnaujinimus, kai juos turėsime.
Nomad tiltas yra protokolas, leidžiantis vartotojams perkelti skaitmeninį turtą tarp skirtingų blokų grandinių, įskaitant Lavina (AVAX), Ethereum (ETH), Evmos (EVMOS), Milkomeda C1 ir Moonbeam (GLMR).
Nomad TVL smarkiai nukrito, nes iš protokolo buvo pašalintos lėšos. Vaizdas: „DeFi Lama“.
Nors informacijos apie Nomad yra nedaug, kai kurie nurodė, kad a sumani sutartis kurią Nomadas naudoja pranešimams apdoroti kaip priežastį, leidžiančią milijonams nutekėti iš Nomad likvidumo fondo.
„Viskas prasidėjo, kai @officer_cia pasidalijo @spreekaway tviteriu ETHSecurity Telegram kanale“, – tviteryje parašė kriptovaliutų investicinės įmonės „Paradigm“ tyrėjas Samas Sunas. „Nors tuo metu neįsivaizdavau, kas vyksta, tiesiog didžiulis turto kiekis, paliekantis tiltą, buvo akivaizdžiai blogas ženklas.
„Pasirodo, kad tai vyksta įprasto atnaujinimo metu“, – tęsė Sun. „Nomad komanda inicijavo patikimą šaknį kaip 0x00. Kad būtų aišku, nulinių reikšmių naudojimas kaip inicijavimo reikšmes yra įprasta praktika. Deja, šiuo atveju tai turėjo nedidelį šalutinį poveikį – automatiškai patvirtino kiekvieną pranešimą.
Klajoklių tilto ataka „pasiutusi nemokama visiems“
Sun palygino tai, kas nutiko, su „pasiutusiu nemokamu visiems“, nes prireikė mažai techninių žinių, kad būtų galima pasinaudoti šia priemone.
„Jums nereikėjo žinoti apie Solidity ar Merkle Trees ar ką nors panašaus“, – rašė Sun. „Tereikia rasti veiksmingą operaciją, surasti/pakeisti kito asmens adresą savo adresu ir iš naujo jį transliuoti.
Panašiai „blockchain“ saugos įmonė Certic Pranešė, kad užpuolikai gali išnaudoti klaidą tiesiog nukopijuodami ir įklijuodami operacijas. Įmonė pridūrė, kad žmonės gali išnaudoti atnaujinimą „nukopijuodami pirminio įsilaužėlio operacijų skambučių duomenis ir pakeisdami pradinį adresą asmeniniu“.
?Paaiškinti klajoklių tilto įsilaužimą?
Visi nuopelnai @samczsun už tai, kad atliko sunkų darbą diagnozuodamas tikslų jo pažeidžiamumą po mirties
Tokiu būdu tiltui buvo nusausintos beveik visos lėšos.
„Nomad tiltas buvo valdomas panašiai kaip Qubit QBridge“, – tviteryje paskelbė a16z saugumo inžinierius Mattas Gleasonas. „Nesaugi tilto konfigūracija sukėlė konkretų kelią, leidžiantį išsiųsti bet kokią operaciją. Klaida yra replikos „proceso“ funkcijoje.
1/ Nomad tiltas buvo valdomas panašiai kaip Qubit QBridge. Dėl nesaugios tilto konfigūracijos atsirado konkretus kelias, leidžiantis išsiųsti bet kokią operaciją. Klaida yra „Replica“ funkcijos „procesas“ viduje.
„Sistema priims bet kokį pranešimą, kurio ji niekada anksčiau nematė, ir apdoros jį taip, lyg jis būtų tikras, o tai reiškia, kad jums tereikia paprašyti visų tilto pinigų ir juos gausite“, – pridūrė jis.
Pasak FTC, kibernetinės atakos Atrodo, kad kriptovaliutų projektai nerodo lėtėjimo ženklų – nuo 1 m. pavogta daugiau nei 2021 mlrd. USD kriptovaliutų.
Sekite kriptovaliutų naujienas, gaukite kasdienius atnaujinimus savo pašto dėžutėje.
