Мы писали о перспективности проекта, но тут другая перспектива
Согласно платформе отслеживания DeFi DeFi Llama , почти все 200 миллионов долларов в крипте были украдены, в кошельке осталось только 651,54 доллара.
Блокчейн MoonBeam фактически был приостановлен, пока команда проводит расследование. В результате взаимодействие между смарт-контрактами и обычными транзакциями с использованием MoonBeam стало невозможным.
Nomad — это кроссчейн-бридж, позволяющие пользователям отправлять и получать токены между разными блокчейнами.
Как работают бриджи/мосты? В основном они работают, блокируя токен в своем смарт-контракте в одном блокчейне и возвращая обернутый токен пользователям. Пример дайте ETH и верните wETH, и этот заданный ETH будет заблокирован.
Здесь стало известно, что депонированные токены были взломаны, что приведет к снижению стоимости обернутых токенов, которые пользователи получили при блокировке.
Недавно произошло обновление смарт-контракта Nomad , и это дало хакерам лазейку для взлома.
Тут не нужно было знать Solidity. нужно было найти работающую транзакцию и транслировать ее, заменив адрес другого человека на наш.
Глядя на транзакции, взаимодействовавшие с контрактом, мы видим, что все эти эксплойты имеют одну общую черту: они вызывают функцию
process () в бридже контракте Nomad ERC20.Если по-русски
Теперь функция процесса выглядит следующим образом:
- Проверяет правильность транзакции, (подписанна для evmos? предназначена для evmos!)
- Проверяет, что сообщение было настоящим
- Вызывает обработчик, чтобы сделать то, что хочет сообщение (например, токены бриджа)
Бридж позволял пользователю переводить произвольную сумму при снятии средств, что не обязательно коррелирует с суммой, которую они внесли в Nomad в другом блокчейне.
Фишка уязвимости заключалась в том, что все, что нужно было сделать пользователям, чтобы взломать бридж, — это скопировать исходные данные транзакции хакера, заменить исходный адрес личным, и транзакция прошла успешно! Вуаля вы криптобогачка!
Судя по аудиторскому отчету об уязвимости знали.
Поскольку в криптомире распространяется много новостей и FUDа, и мы все находимся на медвежьем рынке, все это вызовет панику и потерю веры для новых пользователей.
Для написания статьи использовали
https://coingape.com/web-stories/nomad-hack-heres-how-newbies-drained-nearly-200m/
https://cointelegraph.com/news/nomad-token-bridge-drained-of-190m-in-funds-in-security-exploit