Cryptocoin "Swapper" Nomad يخسر 200 مليون دولار في خطأ تشفير

بروتوكول العملة المشفرة بدوي (لا ينبغي الخلط بينه وبين Monad ، وهو ما أطلق عليه PowerShell عندما ظهر لأول مرة) يصف نفسه as "بروتوكول تفاؤل للتشغيل البيني يتيح الاتصال الآمن عبر السلاسل ،" والوعود بأنها أ "بروتوكول المراسلة عبر السلاسل الأول للأمان."

في اللغة الإنجليزية البسيطة ، من المفترض أن تتيح لك مبادلة الرموز المميزة للعملات المشفرة من نوع لآخر ، في تجارة معروفة في المصطلحات باسم سد.

يتم تشغيل الخدمة من قبل شركة الذهاب بالاسم of إلوسوري سيستمز ، إنك.

لسوء الحظ ، عندما يتعلق الأمر بالأمن السيبراني ، فإن الكلمة خادع يبدو أنه يتناسب بشكل جيد.

في الواقع ، إذا قمت بزيارة "صفحة التطبيق" الخاصة بـ Nomad الآن [2022-08-02T14: 25Z] ، فستلاحظ أن الخدمة مُعلقة تمامًا ، مع استبدال الزر الذي تستخدمه عادةً لاستبدال أحد الرموز المشفرة بآخر بـ عبارة "جسر غير متوفر":

كخلاصة تويتر للشركة ملاحظات:

تحديث: نحن نعمل على مدار الساعة لمعالجة الوضع وقد أبلغنا سلطات إنفاذ القانون واحتفظنا بشركات رائدة في مجال استخبارات blockchain والطب الشرعي. هدفنا هو تحديد الحسابات المعنية وتتبع واسترداد الأموال.

1/2

- البدوي (⤭⛓🏛) (nomadxyz_) 2 أغسطس 2022

من الواضح أنه يبدو كما لو أن العديد من الأشخاص غير المعروفين كانوا قادرين على إطلاق سلسلة من المعاملات التي دفعت كمية هائلة من العملات المشفرة المختلفة ، دون أن يدفعوا أولاً مبلغًا معادلاً لأي عملة مشفرة أخرى.

وفقًا لباحث العملة المشفرة تضمين التغريدة، تمكن المهاجمون من الاستيلاء على الأموال باستخدام ما يُعرف بـ هجوم الإعادة، وهو بالضبط ما يبدو عليه الأمر: فأنت ببساطة تعيد استخدام البيانات من معاملة سابقة ، ولكن مع استبدال تفاصيل حساب المستلم الأصلي بحسابك.

وفقًا لـsamczsun ، فإن التحديث الأخير في كود مصدر Nomad تجاوز عن غير قصد الاختبار الحاسم في نظام النقاط سأل نفسه ، "هل تمت الموافقة على هذه المعاملة؟"

طالما تم تنظيم بيانات المعاملة بشكل صحيح ، فسيتم التحويل ...

... حتى أن مجرد نسخ معاملة حالية ، ولكن تعديل حقل "المدفوع لأمره" فقط ، تبين أنه أبسط وأسهل طريقة لتمرير الأموال واستنزافها.

شفرة هانلون

كما يمكنك أن تتخيل على الأرجح ، ليس الجميع مستعدًا لقبول أن هذا كان "مجرد خطأ برمجي" ، وإن كان مكلفًا بشكل مخيف ، حيث تشير التقارير إلى أن حوالي 200,000,000 دولار من العملات المشفرة قد تم استنزافها من النظام فيما وصفهsamczsun بأنه "مجاني مسعور للجميع":

12 / ليرة تركية ؛ حددت ترقية روتينية علامة التجزئة الصفرية كجذر صالح ، مما أدى إلى السماح بانتحال الرسائل على Nomad. أساء المهاجمون استخدام هذا لنسخ / لصق المعاملات وسرعان ما استنزفوا الجسر في لعبة مجانية للجميع

- samczsun (samczsun) 2 أغسطس 2022

بعض Twitterati يستخدمون الكلمة بالفعل راغبول، عبارة ازدراء في عالم العملة المشفرة ، تُستخدم للإشارة إلى أن اختراق العملة المشفرة كان نوعًا من العمل الداخلي ، تم تمكينه أو تنفيذه عن قصد. (لكي نكون واضحين ، لا يوجد دليل يدعم أيًا من هذه الاقتراحات).

ولكن ، كمبدأ معروف باسم شفرة هانلون على سبيل الفكاهة ، لا داعي لافتراض الحقد عندما يكون عدم الكفاءة تفسيرًا بديلًا.

ماذا ستفعلين.. إذًا؟

لا نعرف حقًا ما هي النصيحة التي نقدمها ، بخلاف الحث على نوعين من الحذر:

• لا تستعجل الانضمام إلى ما يسمى بثورة DeFi. التمويل اللامركزي، أو Web 3.0 ، هي وسيلة للتداول عبر الإنترنت تهدف إلى الهروب من العالم التقليدي للخدمات المالية شديدة التنظيم والمركزية. تهدف خدمات DeFi إلى السماح للأفراد بالتداول بشكل مباشر وفوري تقريبًا مع بعضهم البعض من خلال تعليمات الدفع عبر الإنترنت ، والتي يتم التعبير عنها غالبًا في شكل رمز برنامج متخصص. ولكن من دون الأطر التنظيمية التي تحيط بالإدلالات المالية التقليدية ، فإن فرصك في استرداد أي أموال بعد الأخطاء الفادحة (أو ، في هذا الصدد ، بعد الخداع من الداخل) تكون ضئيلة. إذا لم يكن لدى الشركة أموالاً متبقية حقًا لأن مجرمي الإنترنت وجدوا ثغرة وسرقوا منها جميعًا ، فإن الإفلاس يكاد يكون حتميًا. لا يوجد صندوق استرداد حكومي لتوفير التعويض الأساسي ، كما هو الحال مع البنوك الرئيسية في العديد من البلدان.
• احترس من خبراء الاسترداد الذين يتواصلون معك بعد كارثة DeFi. أحد أكثر أنواع الاحتيال على التعليقات شيوعًا التي نراها على موقع Naked Security (نقوم بمراجعة التعليقات تلقائيًا ويدويًا في محاولة لمنع وصول هذه التعليقات) هي "شهادة استرداد الأموال غير المرغوب فيها". هذه التعليقات ، التي تهدف عادةً إلى المقالات التي نناقش فيها أخطاء cryptocoin الفادحة ، تتظاهر بأن المعلق خسر بشدة في لسعة عملة معماة ، لكنه استعاد معظم أو كل أمواله عن طريق الاتصال بالشركة X أو الفرد Y أو حساب وسائل التواصل الاجتماعي Z. هذه قد تبدو الإعلانات المزيفة عن خدمات استرداد الأموال الاحتيالية مغرية ، خاصةً إذا ادعت أنها تقدم نوعًا من خدمة "لا ربح بدون رسوم". ومع ذلك ، فإن الحقيقة هي أن أموال العملة المشفرة التي سُحِبَت في هجمات مجهول الهوية من هذا النوع نادرًا ما يتم استردادها ، حتى عندما تكون جهات إنفاذ القانون والمحاكم متورطة بنشاط. لا ترمي المال الجيد بعد السيء.

تذكر: إذا بدا الأمر جيدًا لدرجة يصعب تصديقها ، فمن الجيد جدًا تصديقها.

وهذا ينطبق على وعود التشفير وأمن البيانات ، بقدر ما ينطبق على العوائد المالية.