Cầu xuyên chuỗi Nomad bị hack, một số người dùng có "tên thật" đã lợi dụng hỏa hoạn để cướp

秦晓峰

Odaily资深作者

@QinXiaofeng888

2022-08-02 04:14

Bài viết này có khoảng 1534 từ, đọc toàn bộ bài viết mất khoảng 3 phút

Cầu xuyên chuỗi thường xuyên xảy ra sự cố, nhưng lần này người dùng bình thường đang theo dõi tin tặc.

Tóm tắt AI

Mở rộng

Cầu xuyên chuỗi thường xuyên xảy ra sự cố, nhưng lần này người dùng bình thường đang theo dõi tin tặc.

Vào sáng ngày 2 tháng 8, giờ Bắc Kinh, tiền điện tử KOL foobar đã tweet rằng giải pháp chuỗi chéo Nomad đã bị hack vào đầu giờ sáng nay, WETH và WBTC trong hợp đồng thông minh đã bị chuyển ra ngoài, trị giá khoảng một triệu đô la mỗi lần.

Tính đến thời điểm viết bài, tổng khối lượng khóa (TVL) của Nomad token bridge chỉ là 3.941 đô la Mỹ, trong khi ngày hôm qua TVL của nó là khoảng 190 triệu đô la Mỹ. đô la. Người dùng được khuyên không nên liên kết với Nomad và các tài sản liên quan của nó trong thời điểm hiện tại.

Sau cuộc tấn công, hoạt động Ultimate Harvest Moon đang diễn ra của Moonbeam đã bị đình chỉ do cuộc tấn công (Moonbeam hiện có đầy đủ chức năng và hoạt động). Multichain, một giao thức định tuyến xuyên chuỗi, đã tweet rằng TVL của Moonbeam và Moonriver có tài sản trị giá hơn 160 triệu đô la Mỹ và sự an toàn của tài sản không bị ảnh hưởng.

Evmos đã tweet rằng chuỗi Evmos đang chạy bình thường; ngoài ra, Nomad đã bị tạm ngưng, vì vậy người dùng không thể rút tài sản được đóng gói ERC20 của họ từ Evmos sang Ethereum và nhóm sẽ thông báo ngay về việc điều này ảnh hưởng đến người dùng Evmos và người dùng có tài sản được đóng gói của Nomad.

Phản hồi chính thức của Nomad cho biết: "Chúng tôi biết về các sự cố liên quan đến Nomad Token Bridge. Chúng tôi hiện đang điều tra và sẽ cung cấp thông tin cập nhật khi có. Chúng tôi hiểu rằng những kẻ mạo danh đang giả làm Nomad và cung cấp các địa chỉ lừa đảo để thu tiền, chúng tôi chưa chưa Cung cấp hướng dẫn trả lại tiền cầu, vui lòng bỏ qua tin nhắn từ tất cả các kênh khác ngoài kênh Nomad chính thức.

Nguyên nhân sâu xa của hành vi trộm cắp này là do một lỗi xảy ra khi Nomad chính thức nâng cấp hợp đồng thông minh.Nhà nghiên cứu bảo mật mô hình samczsun cho biết hợp đồng sao chép của nó có sai sót nghiêm trọng, một bản nâng cấp thông thường đánh dấu hàm băm bằng 0 là gốc hợp lệ, điều này có tác dụng cho phép giả mạo thông tin trên Nomad; những kẻ tấn công đã khai thác điều này để sao chép/dán các giao dịch và nhanh chóng rút cạn tài sản cầu nối TRÊN.

"Trong quá trình nâng cấp định kỳ, nhóm Nomad khởi tạo gốc của độ tin cậy thành 0x00. Nói rõ hơn, thông thường người ta thường sử dụng giá trị bằng 0 làm giá trị khởi tạo. Thật không may, trong trường hợp này, nó có xác thực tự động ở mọi khía cạnh nhỏ. hiệu ứng của một tin nhắn. Đây là lý do tại sao các tin tặc rất khó hiểu - bạn không cần biết Solidity hoặc Merkle Trees hoặc bất cứ thứ gì tương tự. Tất cả những gì bạn phải làm là tìm một giao dịch hợp lệ, tìm/thay thế địa chỉ của bên kia bằng địa chỉ của bạn, Sau đó phát sóng lại."

Kẽ hở trong thiết kế hợp đồng chỉ là một trong những vấn đề, phản ứng của quan chức Nomad đối với sự cố này cũng khá “chậm chạp” và thiếu kiểm soát rủi ro.Khi foobar tweet, vẫn còn 130 triệu đô la tài sản trong cầu chuỗi chéo và vẫn còn 75 triệu đô la tài sản cho đến khi tweet chính thức được phát hành, nhưng các quan chức của Nomad dường như không thực hiện bất kỳ hành động khẩn cấp nào, xem tài sản bị mất quay trở lại về không.

Mo Dong, người đồng sáng lập Celer Network, đã giải thích trong cộng đồng rằng lý do chính thức của việc "thờ ơ" chủ yếu là do việc nâng cấp hợp đồng có khóa thời gian khiến không thể phản hồi ngay lập tức. "Có khóa thời gian để nâng cấp hợp đồng và không có kiểm soát rủi ro, vì vậy tôi chỉ có thể tự xem + thủ dâm."

Trên thực tế, sau khi hoàn thành hành vi trộm cắp đầu tiên của hacker, kinh nghiệm "thành công" này cũng được lưu truyền trong cộng đồng mã hóa và được nhiều người dùng bắt chước để lợi dụng hỏa hoạn.Có lẽ bởi vì quá nôn nóng, một số người dùng đã quên sử dụng áo khoác để ngụy trang, mà trực tiếp sử dụng tên miền ENS thông thường của mình, để lộ hoàn toàn (điều này có thể giảm bớt gánh nặng cho việc khôi phục theo dõi của Nomad). Hiện tại, một số người dùng đã bắt đầu hoàn tiền một cách tự phát để tránh bị kiện. Odaily sẽ tiếp tục chú ý đến tiến độ tiếp theo.