Nomad bridge лишился $190 млн после того, как сотни адресов скопировали код хакера

Токен-мост Nomad 1 августа пострадал от эксплойта, который позволил нескольким людям слить с моста $190,7 млн.

Первые признаки проблем начались примерно в 9:23 вечера по Гринвичу после того, как хакер воспользовался мостом, чтобы вывести 100 WBTC на сумму 2,3 миллиона долларов.

Еще несколько человек скопировали код первой подозрительной транзакции и изменили адрес, чтобы принять участие в сливе средств.

1/ Nomad только что слили более $150M в ходе одного из самых хаотичных взломов, которые когда-либо видел Web3. Как именно это произошло, и что послужило первопричиной? Позвольте мне провести вас за кулисы 👇 pic.Twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) 1 августа 2022 г.

Мост Nomad позволял переводить токены между блокчейнами Ethereum (ETH), Avalanche (Avax), Evmos (EVMOS), Moonbeam (GLMR) и Milkomeda C1.

На публичных серверах Discord появлялись сообщения о том, что случайные люди забирают $3K-$20K с моста Nomad - все, что нужно было сделать, это скопировать первую транзакцию хакеров и изменить адрес, а затем нажать кнопку отправки через Etherscan. В истинной криптомоде - первое децентрализованное ограбление. https://t.co/jWV9AamBer

- FatMan (@FatManTerra) 2 августа 2022 г.

В отличие от других криптоэксплойтов, где только несколько адресов напрямую связаны со взломом, сотни адресов были ответственны за слив почти всех $190,7 млн, заблокированных в Nomad bridge.

2/ По всей видимости, в этом взломе участвовало несколько кошельков, которые успешно слили средства.

Всего 39 миллионов долларов в USDC были украдены в ходе одной транзакции, в ходе которой с бриджа было снято $202 440 несколько раз. pic.twitter.com/ciXfv3Ebpo

- The woke blunt🚀 (@Manikumar111111) 2 августа 2022 г.

Странно, но некоторые из транзакций эксплойта имели одинаковую стоимость. Например, было более 200 транзакций на сумму ровно 202 440,725413 USDC.

С моста было похищено несколько токенов, таких как WBTC, WETH, USDC, FRAX, CQT, HBOT, IAG, DAI, GERO, CARDS, SDL и C3.

Согласно Oxfoobar, атака произошла из-за плохой операционной стратегии, вызвавшей "плохую инициализацию корня Merkle, которая привела к тому, что каждое сообщение по умолчанию считалось действительным".

TL;DR - плохая стратегия работы привела к плохой инициализации корня merkle, что привело к тому, что каждое сообщение по умолчанию считалось действительным

Не вовремя: несколько месяцев назад команда Nomad привлекла раунд в размере $22 млн. и недавно объявила о значительной поддержке https://t.co/tsPTigF8XV.

- foobar (@0xfoobar) 2 августа 2022 г.

Команда Nomad подтвердила наличие эксплойта и заявила, что расследует произошедшее.

Нам известно об инциденте, произошедшем с жетонным мостом Nomad. В настоящее время мы проводим расследование и предоставим обновленную информацию по мере ее получения.

- Nomad (⤭⛓🏛) (@nomadxyz_) 1 августа 2022 г.

Тем временем Moonbeam перешла в режим технического обслуживания "для расследования инцидента с безопасностью смарт-контракта, развернутого в сети".

1/ Важное уведомление: Сеть Moonbeam Network перешла в режим технического обслуживания для расследования инцидента безопасности смарт-контракта, развернутого в сети.

- Moonbeam Network #HarvestMoonbeam (@MoonbeamNetwork) 1 августа 2022 г.

1/ Ранее сегодня произошел инцидент безопасности, который повлиял на мосты @nomadxyz_ к Moonbeam. Почти все активы в смарт-контракте Nomad`s Ethereum Mainnet были слиты. Мы не нашли никаких доказательств того, что недавний инцидент безопасности был связан с кодовой базой Moonbeam.

- Moonbeam Network #HarvestMoonbeam (@MoonbeamNetwork) 2 августа 2022 г.

Компания Peckshield обнаружила 41 адрес, с которых было похищено около 152 миллионов долларов (80%).

По данным фирмы по безопасности блокчейна, один из кошельков принадлежал хакеру, который украл 80 миллионов долларов у DeFi платформы Rari Capital и Saddle Finance.

#PeckShieldAlert PeckShield обнаружил ~41 адрес, захвативший ~$152M (~80%) в мостовом эксплойте @nomadxyz_, включая ~7 ботов MEV (~$7.1M), эксплоит @RariCapital Arbitrum (~$3.4M) и 6 White Hat (~$8.2M).
~10% этих адресов с именами ENS получили $6,1M pic.twitter.com/UUjk7ZiiKE

- PeckShieldAlert (@PeckShieldAlert) 2 августа 2022 г.

Хакеры Whitehat сохранили часть украденных средств

Хотя все это выглядит как грабеж на халяву, имеющаяся информация подтверждает, что некоторые из тех, кто забрал средства с моста, были "белыми" хакерами, стремившимися предотвратить доступ воров к средствам.

Некоторые из тех, кто слил средства, подтвердили, что планируют их вернуть.

Я возвращаю эти деньги, ФБР, пожалуйста, успокойтесь. Нет, я не собирался их красть, и да, я знаю, что этот адрес засекречен.

🍉 🍉 🍉 🍉.eth
Кочевник

- 🍉🍉🍉.eth (@SpaceWigger) 2 августа 2022 г.

Один из них написал:

"Это белый хак. Я планирую вернуть средства. Жду официального сообщения от команды Nomad (пожалуйста, укажите email для связи). Я не обменивал никаких активов даже после того, как узнал, что USDC может быть заморожен. Перевел USDC, FRAX и токен CQT с других адресов, чтобы консолидировать средства. Я бы хотел спасти больше средств, но это было слишком медленно".

Другие также назвали себя хакерами-белоручками и попросили команду выйти на связь, в том числе один человек, который смог получить 1 миллион долларов.

Некоторые из тех, кто захватил мостовые фонды, некоторые, кто публично выступил и предложил вернуть

🍉🍉🍉.eth
Rari Capital Exploiter
darkfi.eth pic.twitter.com/2adlMl6Pj3

- foobar (@0xfoobar) 2 августа 2022 г.