Technologie

Les pirates au chapeau blanc ont rendu 32.6 millions de dollars de jetons au pont Nomad

08/08/2022
Nouvelles Bitcoin Ethereum

Quelques heures à peine après le pont de jetons Nomad publié une adresse de portefeuille Ethereum la semaine dernière pour le retour des fonds suite à un piratage de 190 millions de dollars, les pirates informatiques ont depuis retourné environ 32.6 millions de dollars de fonds. La grande majorité des fonds était constituée de stablecoins USD Coin (USDC), Tether (USDT) et Frax, ainsi que des altcoins. 

Image(s)

Selon une étude publiée par Paul Hoffman de BestBrokers, la vulnérabilité du protocole Nomad a été mise en évidence dans le récent audit de Nomad par Quantstamp le 6 juin et a été jugée « à faible risque ». Dès que l'exploit a été découvert, des membres du public se sont joints à l'attaque en copiant-collant la transaction de piratage initiale, ce qui s'apparentait à un "vol décentralisé". Plus de 190 millions de dollars de crypto-monnaies ont été drainés de Nomad en moins de trois heures.

L'attaque est survenue quatre mois seulement après que le projet a levé 22.4 millions de dollars lors d'un tour de table en avril. Comme l'a dit Hoffman, l'attaque a profité d'une racine Merkle mal initialisée, qui est utilisée dans les crypto-monnaies pour garantir que les blocs de données envoyés via un réseau peer-to-peer sont entiers et inchangés. Une erreur de programmation a effectivement prouvé automatiquement que tout message de transaction était valide.

Connexe: Nomad aurait ignoré la vulnérabilité de sécurité qui a conduit à un exploit de 190 millions de dollars

Cependant, tous les participants au braquage n'ont pas profité de l'occasion. Presque immédiatement après le début du piratage, les pirates whitehat ont copié le même hachage de transaction que le pirate d'origine pour retirer des fonds pour leur retour en toute sécurité. À l'inverse, un pirate informatique aurait utilisé son nom de domaine Ethereum pour blanchir les fonds volés, conduisant à la possibilité d'une vérification croisée avec les informations Know-Your-Customer utilisant également le domaine.