Tech

Gli hacker White Hat hanno restituito token per un valore di 32.6 milioni di dollari a Nomad Bridge

08/08/2022
Notizie su Bitcoin Ethereum

Poche ore dopo il ponte a gettoni Nomad pubblicato un indirizzo del portafoglio Ethereum la scorsa settimana per la restituzione di fondi a seguito di un hack da 190 milioni di dollari, gli hacker whitehat da allora hanno restituito fondi per un valore di circa 32.6 milioni di dollari. La stragrande maggioranza dei fondi era costituita da stablecoin USD Coin (USDC), Tether (USDT) e Frax, insieme ad altcoin. 

Immagine

Secondo una ricerca pubblicata da Paul Hoffman di BestBrokers, la vulnerabilità del protocollo Nomad è stata evidenziata nel recente audit di Nomad da parte di Quantstamp il 6 giugno ed è stata considerata "a basso rischio". Non appena l'exploit è stato scoperto, membri del pubblico si sono uniti all'attacco copiando e incollando la transazione di hacking iniziale, che era simile a una "rapina decentralizzata". Più di 190 milioni di dollari di criptovalute sono stati drenati da Nomad in meno di tre ore.

L'attacco è arrivato solo quattro mesi dopo che il progetto ha raccolto 22.4 milioni di dollari in un round seed ad aprile. Come racconta Hoffman, l'attacco ha sfruttato una radice Merkle inizializzata in modo errato, che viene utilizzata nelle criptovalute per garantire che i blocchi di dati inviati attraverso una rete peer-to-peer siano interi e inalterati. Un errore di programmazione ha effettivamente dimostrato automaticamente la validità di qualsiasi messaggio di transazione.

Correlato: Secondo quanto riferito, Nomad ha ignorato la vulnerabilità della sicurezza che ha portato a un exploit di 190 milioni di dollari

Tuttavia, non tutti i partecipanti alla rapina stavano sfruttando l'opportunità. Quasi immediatamente dopo l'inizio dell'hacking, gli hacker whitehat hanno copiato lo stesso hash di transazione dell'hacker originale per prelevare fondi per il loro ritorno sicuro. Al contrario, un hacker avrebbe utilizzato il proprio nome di dominio Ethereum per lavare e stirare i fondi sottratti, portando alla possibilità di una verifica incrociata con le informazioni di Know-Your-Customer utilizzando anche il dominio.