8 月2 日凌晨，Nomad bridge 發布了一條警報，表示它知道正在進行的漏洞利用。在接下來的幾個小時內，整個協議超過1.9 億美元的資金被耗盡。
加密貨幣社區開發人員和白帽“samczsun”打破了事件鏈，解釋了發生的事情。他將這次攻擊稱為“Web3 所見過的最混亂的黑客攻擊之一”。
1/ Nomad 剛剛在Web3 見過的最混亂的黑客攻擊之一中被榨乾了超過1.5 億美元。這究竟是如何發生的，根本原因是什麼？請允許我帶你到幕後👇 pic.twitter.com/Y7Q3fZ7ezm
— samczsun (@samczsun) 2022 年8 月1 日
Nomad 是以太坊、Avalanche、Milcomeda 和Moonbeam 之間跨鏈轉移的代幣橋樑。
游牧資金耗盡
研究人員在ETHSecurity Telegram 頻道中分享了一條推文，顯示多筆資金交易離開了橋樑。乍一看，這似乎是令牌小數的錯誤配置，但samczsun 發現：
“然而，在Moonbeam 網絡上進行了一些痛苦的手動挖礦之後，我確認雖然Moonbeam 交易確實橋接了0.01 WBTC，但不知何故，以太坊交易橋接了100 WBTC。”
這個漏洞利用的不同之處在於交易沒有被“證明”並直接執行。 samczsun 說：“能夠在不先證明它的情況下處理消息是非常不好的。” 編碼人員進行了更多挖礦，並在常規Nomad 升級期間初始化的“副本”智能合約中發現了一個致命缺陷。
他補充說，這很混亂，因為加密貨幣竊賊不需要任何技術知識。他們只需要找到一個有效的交易，用他們自己的替換目標地址，然後重新廣播它。
“例行升級將零哈希標記為有效根，其效果是允許在Nomad 上欺騙消息。 攻擊者濫用它來複製/粘貼交易，並在瘋狂的混戰中迅速耗盡了橋樑，”
TVL 歸零
Nomad 甚至發現了欺詐性地址，試圖竊取返還給橋的資金。
我們知道冒充者冒充Nomad 並提供欺詐地址來收集資金。我們尚未提供退還過橋資金的說明。忽略來自Nomad 官方頻道以外的所有頻道的通訊：@nomadxyz_
— Nomad (⤭⛓🏛) (@nomadxyz_) 2022 年8 月2 日
根據DefiLlama 的說法，在過去幾個小時內，Nomad 的總鎖定價值已從1.9038 億美元暴跌至5,336 美元。
Nomad 是繼Ronin Bridge、Wormhole 和Harmony 的高調攻擊之後今年最新的令牌橋攻擊。
特別優惠（贊助）幣安免費100 美元（獨家）：使用此鏈接註冊並獲得幣安期貨第一個月免費100 美元和10% 的費用（條款）。
PrimeXBT 特別優惠：使用此鏈接註冊並輸入POTATO50 代碼，即可獲得高達7,000 美元的存款。
資訊來源：由0x資訊編譯自CRYPTOPOTATO。版權歸原作者所有，未經許可，不得轉載