Kapitalizacja:
15 022 117 068 626
PLN
+0,25%
Wolumen 24H:
1 666 456 217 176
PLN
Dominacja:
BTC
51,5%
ETH
11,96%

Kolejny most zhakowany. Dzisiejszym bohaterem Nomad

Rafał avatar
Rafał   2022-08-02 08:28

190 mln USD z projektu Nomad zostało opróżnione w kilka godzin w, jak to opisują eksperci, jednym z najbardziej chaotycznych ataków w historii. Do wszystkiego doprowadził błąd zespołu...

Zhakowany most

"Nomad to optymistyczny protokół interoperacyjności, który umożliwia bezpieczną komunikację między łańcuchami" - przynajmniej tak twierdzili twórcy.

$190 mln zostało skradzione z mostu Nomad i choć część środków znalazła się w rękach osób uczciwych, które planują je zwrócić, możemy uznać, że większości nie da się odzyskać.

Co się stało?

Użytkownicy foobar i Samczsun na Twitterze już znaleźli wytłumaczenie. Po bardziej dogłębną i techniczną analizę tego co się stało zapraszam do nich:

W skrócie użytkownicy mogli wypłacić z mostu środki, których nie mieli...

Funkcja process(), działająca w aktualnym smart kontrakcie sprawdza, czy wiadomości zawierają akceptowalny korzeń Merkle, czyli czy są poprawne. Ma to na celu uniemożliwienie użytkownikom przekazywania nieprawdziwych danych. Zespół w aktualizacji sprzed 41 dni oznaczył zerowy korzeń (0x00) jako zaufany, co jest dość częstą praktyką.

Niestety, w tym wypadku oznaczało to, że każda wiadomość jest domyślnie akceptowana, co jest przeciwieństwem tego, co zwykle oznacza "wyzerowanie" korzenia merkle. W rezultacie system akceptował każdą wiadomość i przetwarzał tak, jakby była prawdziwa.

Do czego to doprowadziło? 

Każdy użytkownik, który chciał "skorzystać" na tym błędzie musiał tylko... skopiować oryginalne dane dotyczące transakcji, która zadziałała, zastąpić adres swoim i transakcja była poprawna! 

To doprowadziło do masowego opróżniania środków przez wielu użytkowników techniką... CTRL + C, CTRL + V.

Jak podsumował Samczsun, rutynowa aktualizacja oznaczyła zerowy hash jako prawidłowy korzeń, co umożliwiło fałszowanie wiadomości. Atakujący wykorzystali to, aby kopiować transakcje i opróżnili most w bardzo szybkim tempie.

Kolejny atak na most pokazuje, że jest to największy aktualnie problem związany z bezpieczeństwem. W tym wypadku uda się jednak uratować część środków, ponieważ wiele (również znanych w społeczności) osób gdy tylko zobaczyło, co się dzieje zareagowało i wykorzystało moment, aby "chwilowo ukraść" jak najwięcej środków, które zwrócą gdy zespół podejmie decyzję co dalej. 

 

Popularne
Cookies. Szanujemy Twoją prywatność.

Wykorzystujemy pliki cookie do spersonalizowania treści i reklam, aby oferować funkcje społecznościowe i analizować ruch w naszej witrynie. Informacje o tym, jak korzystasz z naszej witryny, udostępniamy partnerom społecznościowym, reklamowym i analitycznym. Partnerzy mogą połączyć te informacje z innymi danymi otrzymanymi od Ciebie lub uzyskanymi podczas korzystania z ich usług.


Aby zmienić swoje preferencje w dowolnym momencie, kliknij link „Pliki cookie” na dole strony.


Więcej informacji znajdziesz w dokumencie Polityka Prywatności.

Ustawienia zaawansowane
Niezbędne pliki cookie
Te pliki cookie są niezbędne dla funkcjonowania strony internetowej i nie mogą być wyłączone w naszych systemach.

Statystyka
Te pliki cookie umożliwiają nam zliczanie wizyt i badanie zachowania użytkowników, gromadząc anonimowe informacje.

Preferencje
Informacje na temat Twojej aktywności w serwisie mogą być przechowywane i wykorzystane do prezentowania treści, które wydają się bardziej odpowiednie w oparciu o Twoje zainteresowania.

Marketing i reklamy
Celem tych plików jest wyświetlanie reklam, które są interesujące dla poszczególnych użytkowników i tym samym bardziej cenne dla reklamodawców strony trzeciej.