Technika

Baltųjų skrybėlių įsilaužėliai grąžino į Nomad Bridge žetonus už 32.6 mln

08/08/2022
„Bitcoin Ethereum“ naujienos

Vos kelios valandos po Nomad žetonų tilto paskelbti Praėjusią savaitę „Ethereum“ piniginės adresas, skirtas grąžinti lėšas po 190 mln. USD įsilaužimo, „whitehat“ įsilaužėliai nuo tada grąžino maždaug 32.6 mln. USD vertės lėšų. Didžiąją dalį lėšų sudarė stabilios monetos USD Moneta (USDC), Rišiklis (USDT) ir Frax, kartu su altkoinais. 

vaizdas

Remiantis „BestBrokers“ Paulo Hoffmano paskelbtu tyrimu, Nomad protokolo pažeidžiamumas buvo pabrėžtas neseniai „Quantstamp“ atlikto Nomad audito metu, kuris įvyko birželio 6 d., ir buvo pripažintas „maža rizika“. Kai tik buvo aptiktas išnaudojimas, visuomenės nariai prisijungė prie atakos nukopijuodami įklijuodami pradinį įsilaužimo sandorį, kuris buvo panašus į „decentralizuotą apiplėšimą“. Daugiau nei 190 milijonų dolerių vertės kriptovaliutos iš Nomad buvo nusausintos greičiau nei per tris valandas.

Išpuolis įvyko praėjus vos keturiems mėnesiams po to, kai projektas balandžio mėnesį surinko 22.4 mln. Kaip pasakojo Hoffmanas, ataka pasinaudojo neteisingai inicijuota Merkle šaknimi, kuri naudojama kriptovaliutose, siekiant užtikrinti, kad duomenų blokai, siunčiami per peer-to-peer tinklą, būtų sveiki ir nepakeisti. Programavimo klaida veiksmingai automatiškai patvirtino, kad bet koks operacijos pranešimas galioja.

Susiję: Pranešama, kad Nomad ignoravo saugumo pažeidžiamumą, dėl kurio buvo išnaudota 190 mln

Tačiau ne visi vagystės dalyviai pasinaudojo galimybe. Beveik iš karto po įsilaužimo pradžios „whitehat“ įsilaužėliai nukopijavo tą pačią operacijų maišą, kaip ir pirminis įsilaužėlis, kad atimtų lėšas saugiam grąžinimui. Ir atvirkščiai, vienas įsilaužėlis tariamai panaudojo savo Ethereum domeno vardą plauti pavogtas lėšas, todėl galima atlikti kryžminį patikrinimą su „Pažink savo klientą“ informacija, taip pat naudojant domeną.