교차 체인 브리지 Nomad가 해킹되었고 "실명"을 가진 일부 사용자가 불을 이용하여 약탈했습니다.
8월 2일 베이징 시간 오전, 크립토 KOL foobar는 오늘 새벽 크로스체인 솔루션 노매드가 해킹당해 스마트 컨트랙트에 있는 WETH와 WBTC가 약 100만 달러 가치로 이체되고 있다고 트위터에 올렸다. 매번.
보도시간 현재 노마드 토큰 브릿지의 총 락업 볼륨(TVL)은 미화 3,941달러에 불과한 반면, 어제 TVL은 약 1억 9천만 달러였습니다.예비 분석에 따르면 노마드의 손실은 약 1억 9천만 달러입니다. 사용자는 당분간 Nomad 및 관련 자산과 연결하지 않는 것이 좋습니다.
공격 이후 Moonbeam의 진행중인 Ultimate Harvest Moon 활동은 공격으로 인해 중단되었습니다 (Moonbeam은 이제 완전히 작동하고 작동합니다.). 교차 체인 라우팅 프로토콜인 Multichain은 Moonbeam과 Moonriver의 TVL이 1억 6천만 달러 이상의 자산을 보유하고 있으며 자산의 안전은 영향을 받지 않았다고 트윗했습니다.
Evmos는 트윗을 통해 Evmos 체인이 정상적으로 실행되고 있으며, 또한 Nomad가 일시 중지되어 사용자가 Evmos에서 ERC20 캡슐화 자산을 이더리움으로 인출할 수 없으며 팀은 이것이 Evmos 사용자 및 Nomad 캡슐화 자산을 가진 사용자에게 어떤 영향을 미치는지 즉시 알릴 것입니다.
공식 Nomad 응답은 "우리는 Nomad Token Bridge와 관련된 사건을 알고 있습니다. 현재 조사 중이며 업데이트가 있을 때 업데이트를 제공할 것입니다. 우리는 사기꾼이 Nomad로 가장하고 자금을 모으기 위해 사기성 주소를 제공하고 있음을 알고 있습니다. 아직 브리지 펀드 반환에 대한 지침을 제공하십시오. 공식 노매드 채널 이외의 모든 채널에서 메시지를 무시하십시오.”
이번 도용의 근본 원인은 노매드가 스마트 컨트랙트를 공식적으로 업그레이드할 때 오류가 발생했다는 점입니다.Paradigm 보안 연구원 samczsun은 레플리카 계약에 치명적인 결함이 있다고 말했습니다. 일상적인 업그레이드는 유효한 루트로 해시를 0으로 표시하여 Nomad에서 정보를 스푸핑할 수 있는 효과가 있었습니다. 에.
"일상적인 업그레이드 중에 Nomad 팀은 신뢰의 루트를 0x00으로 초기화합니다. 명확하게 하기 위해 초기화 값으로 0 값을 사용하는 것이 일반적입니다. 불행히도 이 경우 작은 측면마다 자동 유효성 검사가 있습니다. 메시지의 효과입니다. 이것이 해커들이 혼란스러워하는 이유입니다. Solidity나 Merkle Trees 또는 이와 유사한 것을 알 필요가 없습니다. 유효한 트랜잭션을 찾고, 상대방의 주소를 찾아 자신의 주소로 교체하기만 하면 됩니다. 그럼 재방송해줘."
계약 설계 허점은 문제 중 하나일 뿐이며, 이 사건에 대한 Nomad 관계자의 대응도 상당히 "느렸고" 위험 통제가 부족했습니다.푸바가 트위터를 했을 때 크로스체인 브릿지에 자산이 1억3000만 달러, 공식 트윗이 나오기 전까지 자산이 7500만 달러였으나 노매드 관계자는 자산 손실 반환을 지켜보며 급한 조치를 취하지 않는 듯했다. 0으로.
Celer Network의 공동 창립자인 Mo Dong은 커뮤니티에서 "무관심"한 공식적인 이유는 주로 계약 업그레이드에 시간 잠금이 있어 즉각적인 대응이 불가능하기 때문이라고 설명했습니다. "계약 승급에 대한 타임락이 있고, 위험 통제가 없어서 지켜보기+자위만 할 수 있어요."
실제로 첫 번째 해커의 절도가 완료된 후 이 "성공적인" 경험은 암호화 커뮤니티에서도 유포되었으며 더 많은 사용자가 모방하여 불을 이용했습니다.너무 조급해서인지 일부 사용자는 조끼를 사용하여 변장하는 것을 잊고 일반적인 ENS 도메인 이름을 완전히 노출하여 직접 사용했습니다(이는 Nomad의 후속 복구에 대한 부담을 줄일 수 있음). 현재 일부 사용자는 소송을 피하기 위해 자발적으로 환불을 시작했습니다. 앞으로도 오데일리는 후속 행보에 귀를 기울일 예정이다.
1억 5천만 달러 이상의 손실, 크로스체인 브릿지 프로토콜 Nomad 해킹 분석 분석
관련 읽기
