Crypto Bridge Nomad exploité pour 190 millions de dollars dans « Frenzied Free-for-All »

Dans l’un des hacks les plus étendus depuis celui d’Axie Infinity Chaîne latérale Ronin Bridge en mars, un exploit sur le pont symbolique Nomad a permis aux attaquants de voler le pont d’environ 190 millions de dollars.

« Nous sommes au courant de l’incident impliquant le pont de jetons Nomad. Nous enquêtons actuellement et fournirons des mises à jour lorsque nous les aurons », Nomad tweeté Lundi après-midi.

Le pont Nomad est un protocole permettant aux utilisateurs de déplacer des actifs numériques entre différentes chaînes de blocs, y compris avalanche (AVAX), Ethereum (ETH), Evmos (EVMOS), Milkomeda C1 et Moonbeam (GLMR).

Bien que les détails de Nomad soient rares, certains ont signalé une erreur de configuration dans un contrat intelligent que Nomad utilise pour traiter les messages comme cause, permettant à des millions d’être drainés du pool de liquidités de Nomad.

« Tout a commencé lorsque @officer_cia a partagé le tweet de @spreekaway sur la chaîne ETHSecurity Telegram », a tweeté Sam Sun, chercheur à la société d’investissement crypto Paradigm. « Bien que je n’avais aucune idée de ce qui se passait à l’époque, le simple volume d’actifs quittant le pont était clairement un mauvais signe. »

« Il s’avère que lors d’une mise à niveau de routine », a poursuivi Sun. « L’équipe Nomad a initialisé la racine de confiance sur 0x00. Pour être clair, l’utilisation de valeurs nulles comme valeurs d’initialisation est une pratique courante. Malheureusement, dans ce cas, cela a eu un petit effet secondaire de vérification automatique de chaque message. »

L’attaque d’un pont nomade « une mêlée frénétique »

Sun a comparé ce qui s’est passé ensuite à « un libre pour tous frénétique » car il a fallu peu de connaissances techniques pour tirer parti de l’exploit.

« Vous n’aviez pas besoin de connaître Solidity ou Merkle Trees ou quoi que ce soit du genre », a écrit Sun. « Tout ce que vous aviez à faire était de trouver une transaction qui fonctionnait, de trouver/remplacer l’adresse de l’autre personne par la vôtre, puis de la rediffuser. »

De même, la société de sécurité blockchain Certik rapporté que les attaquants pourraient exploiter le bogue en copiant et en collant simplement des transactions. L’entreprise a ajouté que les gens pourraient exploiter la mise à niveau « en copiant les données d’appel de transaction du pirate d’origine et en remplaçant l’adresse d’origine par une adresse personnelle ».

De cette façon, le pont a été vidé de presque tous ses fonds.

« Le pont de Nomad est devenu propriétaire de la même manière que le QBridge de Qubit », a tweeté Matt Gleason, ingénieur en sécurité chez a16z. « Une configuration non sécurisée du pont a provoqué un chemin spécifique pour autoriser toute transaction envoyée. L’erreur se trouve dans la fonction ‘process’ de la réplique. »

« Le système acceptera tout message qu’il n’a jamais vu auparavant et le traitera comme s’il était authentique, ce qui signifie que tout ce que vous avez à faire est de demander tout l’argent du pont et vous l’obtiendrez », a-t-il ajouté.

Selon la FTC, cyber-attaques contre les projets de cryptographie ne semblent montrer aucun signe de ralentissement, avec plus d’un milliard de dollars de crypto volés depuis 2021.