Nomad Bridge subit une perte de 190 millions de dollars dans une attaque chaotique par copier-coller

Aux premières heures du 2 août, Nomad Bridge a publié une alerte indiquant qu'il était au courant d'un exploit en cours. Dans les heures qui ont suivi, l'ensemble des fonds du protocole de plus de 190 millions de dollars ont été épuisés.

Le développeur de la communauté crypto et chapeau blanc "samczsun" a décomposé la chaîne des événements, expliquant ce qui s'est passé. Il a qualifié l'attaque de "l'un des piratages les plus chaotiques que Web3 ait jamais vus".

1/ Nomad vient d'être épuisé pour plus de 150 millions de dollars dans l'un des hacks les plus chaotiques que Web3 ait jamais vus. Comment cela s'est-il produit exactement et quelle en était la cause première ? Permettez-moi de vous emmener dans les coulisses ? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) 1 août 2022

Nomad est un pont symbolique pour les transferts inter-chaînes entre Ethereum, Avalanche, Milkomeda et Moonbeam.

Les fonds nomades drainés

Les chercheurs ont partagé un tweet sur la chaîne ETHSecurity Telegram montrant plusieurs transactions de fonds quittant le pont. À première vue, cela semblait être une mauvaise configuration dans les décimales symboliques, mais samczsun a découvert :

"Cependant, après quelques recherches manuelles douloureuses sur le réseau Moonbeam, j'ai confirmé que si la transaction Moonbeam a comblé 0.01 WBTC, d'une manière ou d'une autre, la transaction Ethereum a comblé 100 WBTC."

Ce qui rend cet exploit différent, c'est que les transactions n'ont pas été « prouvées » et exécutées directement. "Être capable de traiter un message sans le prouver au préalable n'est extrêmement pas bon", a déclaré Samczsun. Le codeur a creusé un peu plus et a trouvé une faille fatale dans le contrat intelligent "Replica" initialisé lors d'une mise à niveau de routine de Nomad.

Il a ajouté que c'était chaotique car les voleurs de crypto n'avaient besoin d'aucune connaissance technique. Il leur suffisait de trouver une transaction qui fonctionnait, de remplacer l'adresse cible par la leur et de la rediffuser.

"Une mise à jour de routine a marqué le hachage zéro comme une racine valide, ce qui a eu pour effet de permettre aux messages d'être usurpés sur Nomad. Les attaquants en ont abusé pour copier/coller des transactions et ont rapidement vidé le pont dans un free-for-all frénétique »,

TVL à zéro

Nomad a même découvert des adresses frauduleuses tentant de voler des fonds restitués au pont.

Nous avons connaissance d'imitateurs se faisant passer pour Nomad et fournissant des adresses frauduleuses pour collecter des fonds. Nous ne fournissons pas encore d'instructions pour restituer les fonds relais. Ne tenez pas compte des communications de tous les canaux autres que le canal officiel de Nomad : @nomadxyz_

— Nomade (⤭⛓ ?) (@nomadxyz_) 2 août 2022

Selon DéfiLlama, la valeur totale verrouillée de Nomad est passée de 190.38 millions de dollars à 5,336 XNUMX dollars au cours des dernières heures.

Nomad est la dernière attaque de pont symbolique cette année après les exploits très médiatisés du pont Ronin, Wormhole et Harmonie.