Nomad Bridge subit un raid de plus de 190 millions de dollars

Pont à chaînes croisées Nomad Bridge est devenu la cible principale des hackers et… des pillards, et Dieu sait quoi d’autre…

Nomad Bridge, un protocole qui permet des interactions entre différentes blockchains, a été piraté cette semaine. Les pirates ont exploité les vulnérabilités du pont et volé plus de 190 millions de dollars d’actifs.

Les actifs touchés par l’incident comprennent WBTC, WETH, USDC, FRAX, CQT, HBOT, IAG, DAI, GERO, CARDS, SDL et C3. Nomad est le prochain nom à rejoindre la liste des ponts malchanceux sous des attaques majeures après Axie Infinity et Horizon.

Nomad Bridge a été touché – de manière considérable

La première transaction suspecte a été effectuée le 2 août, lorsque des pirates ont tenté de transférer 100 Wrapped Bitcoin (WBTC) équivalant à 2,3 millions de dollars depuis le pont.

Après avoir découvert le problème d’éventuels exploits supplémentaires, les opportunistes ont profité de l’échappatoire, ont répliqué les informations de transaction du pirate informatique, ont remplacé l’adresse d’origine par leurs adresses et ont réussi à retirer de l’argent.

L’exploit de cette fois est facile à reproduire, ce qui explique pourquoi il s’agit de l’attaque la plus rapide et la plus chaotique.

N’importe qui sur le Discord du projet pourrait simplement copier la première transaction de l’attaquant et changer l’adresse, puis appuyer sur envoyer via Etherscan, ils recevront au hasard mille dollars par txid.

Comment cela pourrait-il même arriver?

Étant donné que l’incident fait toujours l’objet d’une enquête, le projet piraté n’a fourni aucune autre explication. Cependant, certains chercheurs et experts en cryptographie ont indiqué des réponses viables.

Le Far West de la finance

Selon Sam Sun, chercheur chez Paradigm, la vulnérabilité provient d’un autre bogue découvert et signalé à Nomad par l’unité d’audit des contrats intelligents Quantstamp début juin.

Le projet a résolu l’autre problème, mais ce faisant, il est passé à la racine 0x000…, ce qui a entraîné les répercussions qui se sont produites.

Chaque transaction passera par une étape de vérification (verify) pour s’assurer qu’elle est valide. Et, alors que Root est nécessaire pour cette vérification, le développeur ici l’a laissé à 0x00, et ce code d’identification Root garantit automatiquement que toutes les transactions sont valides.

L’équipe Nomad a émis des avertissements concernant l’événement lié au pont de jetons Nomad peu de temps après en avoir pris connaissance.

Le pont Nomad a été fermé à la suite de l’attaque, selon le fil Twitter officiel de Nomad. L’équipe a déclaré qu’elle travaillait avec les forces de l’ordre pour enquêter plus avant sur l’événement.

En être témoin,

« Nous avons connaissance d’imitateurs se faisant passer pour Nomad et fournissant des adresses frauduleuses pour collecter des fonds. Nous ne fournissons pas encore d’instructions pour restituer les fonds relais. Ignorez les communications de tous les canaux autres que le canal officiel de Nomad : @nomadxyz_. »

Nomade est une excellente idée

Nomad est un pont qui permet le transfert de jetons entre différentes blockchains telles que Avalanche (AVAX), Ethereum (ETH), Evmos (EVMOS), Milkomeda C1 et Moonbeam (GLMR) via le système de messagerie de Nomad.

Le protocole offre un large éventail de possibilités d’application et peut être utilisé pour développer des applications inter-chaînes.

Nomad a récemment révélé qu’il avait levé avec succès 22 millions de dollars auprès de personnalités leaders de l’industrie, notamment Coinbase Ventures, OpenSea et cinq autres acteurs majeurs dans le cadre d’un financement de démarrage dirigé par Polychain en avril. Le financement a dépassé la valorisation de l’entreprise à 225 millions de dollars.

Par rapport aux attaques contre les ponts inter-chaînes en 2021, ces attaques cette année ont causé de graves dommages au projet lui-même, aux VC et aux projets associés aux ponts en raison de la nature de connectivité d’un pont inter-chaînes.

Le fait que la blockchain soit décentralisée la rend plus facile à défendre. Mais les protocoles et les logiciels ont tous été créés par des personnes, il est donc possible qu’il y ait des faiblesses.

Les attaques récentes ne visent pas vraiment la plate-forme blockchain elle-même. Au lieu de cela, ils sont destinés à des applications telles que les jeux, les portefeuilles, les échanges et les ponts.

Ce sont des applications Web et mobiles qui utilisent la blockchain, mais elles présentent toujours les mêmes failles de sécurité que les logiciels traditionnels car ce sont toujours des applications Web et mobiles.

Depuis le début de l’année, quatre ponts inter-chaînes ont été piratés, dont Wormhole, Ronin, Horizon et Nomad. Aucun n’a moins de 100 millions de dollars de perte.

Cross-chain Bridge a amélioré l’interopérabilité de la blockchain, ce qui se traduit par une meilleure expérience pour les utilisateurs et les développeurs de la blockchain. Cependant, en raison de vulnérabilités spécifiques, ces ponts ont récemment été une cible populaire pour les attaquants.