Спустя всего несколько часов после того, как на прошлой неделе токен-мост Nomad опубликовал адрес кошелька Ethereum для возврата средств после взлома на сумму 190 миллионов долларов, хакеры-белоручки вернули средства на сумму около 32,6 миллиона долларов. Подавляющее большинство средств состояло из стейблкоинов USD Coin (USDC), Tether (USDT) и Frax, а также альткоинов. 

Согласно исследованию, опубликованному Полом Хоффманом из BestBrokers, уязвимость протокола Nomad была отмечена в ходе недавнего аудита Nomads компанией Quantstamp 6 июня и была признана "Низким риском". Как только эксплойт был обнаружен, представители общественности присоединились к атаке, скопировав первоначальную транзакцию взлома, что было сродни "децентрализованному ограблению". Менее чем за три часа из Nomad было выведено криптовалюты на сумму более 190 миллионов долларов.

Атака произошла всего через четыре месяца после того, как в апреле проект привлек 22,4 миллиона долларов в рамках посевного раунда. Как рассказал Хоффман, атака воспользовалась неправильно инициализированным корнем Меркле, который используется в криптовалютах для обеспечения целостности и неизменности блоков данных, передаваемых через одноранговую сеть. Ошибка в программировании фактически автоматически подтверждала, что любое сообщение о транзакции является действительным.

Однако не все участники ограбления воспользовались этой возможностью. Почти сразу после начала взлома хакеры-белоручки скопировали тот же хэш транзакции, что и первоначальный хакер, чтобы вывести средства для их безопасного возврата. И наоборот, один из хакеров якобы использовал свое доменное имя Ethereum для отмывания украденных средств, что привело к возможности перекрестной проверки с информацией Know-Your-Customer, также использующей домен. 

Процесс восстановления средств кочевого моста

Уважаемые хакеры-белошляпники и этичные исследователи, которые защищали токены ETH/ERC-20,

Пожалуйста, отправьте средства на следующий адрес кошелька на Ethereum: 0x94A84433101A10aEda762968f6995c574D1bF154 pic.Twitter.com/UF623JSZ8u

- Nomad (⤭⛓) (@nomadxyz_) 3 августа 2022 г.

Источник