Nomad Bridge subit une perte de 190 millions de dollars dans une attaque chaotique par copier-coller

Aux premières heures du 2 août, Nomad bridge a publié une alerte indiquant qu’il était au courant d’un exploit en cours. Dans les heures qui ont suivi, l’ensemble des fonds du protocole de plus de 190 millions de dollars ont été épuisés.

Le développeur de la communauté Crypto et chapeau blanc « samczsun » a décomposé la chaîne des événements, expliquant ce qui s’est passé. Il a qualifié l’attaque de « l’un des piratages les plus chaotiques que Web3 ait jamais vus ».

1/ Nomad vient d’être vidé pour plus de 150 millions de dollars dans l’un des hacks les plus chaotiques que Web3 ait jamais vus. Comment cela s’est-il produit exactement et quelle en était la cause première ? Permettez-moi de vous emmener dans les coulisses pic.twitter.com/Y7Q3fZ7ezm

— samczsun (@samczsun) 1er août 2022

Nomad est un pont symbolique pour les transferts entre chaînes entre Ethereum, Avalanche, Milkomeda et Moonbeam.

Les fonds nomades sont épuisés

Les chercheurs ont partagé un tweet sur la chaîne ETHSecurity Telegram montrant plusieurs transactions de fonds sortant du pont. À première vue, cela semblait être une mauvaise configuration dans les décimales symboliques, mais samczsun a découvert :

« Cependant, après quelques recherches manuelles pénibles sur le réseau Moonbeam, j’ai confirmé que même si la transaction Moonbeam a comblé 0,01 WBTC, d’une manière ou d’une autre, la transaction Ethereum a comblé 100 WBTC. »

Ce qui rend cet exploit différent, c’est que les transactions n’ont pas été « prouvées » et exécutées directement. « Être capable de traiter un message sans le prouver au préalable n’est extrêmement pas bon », a déclaré Samczsun. Le codeur a creusé un peu plus et a trouvé une faille fatale dans le contrat intelligent « Replica » initialisé lors d’une mise à niveau de routine de Nomad.

Il a ajouté que c’était chaotique car les voleurs de crypto n’avaient besoin d’aucune connaissance technique. Il leur suffisait de trouver une transaction qui fonctionnait, de remplacer l’adresse cible par la leur et de la rediffuser.

« Une mise à niveau de routine a marqué le hachage zéro comme une racine valide, ce qui a eu pour effet de permettre aux messages d’être usurpés sur Nomad. Les attaquants en ont abusé pour copier/coller des transactions et ont rapidement vidé le pont dans une mêlée frénétique »,

TVL à zéro

Nomad a même découvert des adresses frauduleuses tentant de voler des fonds retournés au pont.

Nous avons connaissance d’imitateurs se faisant passer pour Nomad et fournissant des adresses frauduleuses pour collecter des fonds. Nous ne fournissons pas encore d’instructions pour restituer les fonds relais. Ignorer les communications de tous les canaux autres que le canal officiel de Nomad : @nomadxyz_

— Nomade (⤭) (@nomadxyz_) 2 août 2022

Selon DefiLlama, la valeur totale verrouillée de Nomad est passée de 190,38 millions de dollars à 5 336 $ au cours des dernières heures.

Nomad est la dernière attaque de pont symbolique cette année après les exploits très médiatisés du pont Ronin, Wormhole et Harmony.