Cryptocoin „Token Swapper“ Nomad verliert 200 Millionen Dollar durch Codierungsfehler

Kryptowährungsprotokoll Nomade (nicht zu verwechseln mit Monad, wie PowerShell hieß, als es zum ersten Mal herauskam) beschreibt sich selbst as „ein optimistisches Interoperabilitätsprotokoll, das eine sichere kettenübergreifende Kommunikation ermöglicht“, und verspricht, dass es ein ist „Security-First-Cross-Chain-Messaging-Protokoll.“

Im Klartext soll es Ihnen ermöglichen, Kryptowährungs-Token einer Sorte gegen eine andere auszutauschen, in einem Handel, der im Fachjargon als bekannt ist Überbrückung.

Der Dienst wird von einem Unternehmen betrieben unter dem Namen gehen of Illusorische Systeme, Inc.

Leider, wenn es um Cybersicherheit geht, das Wort illusorisch scheint ziemlich gut zu passen.

Wenn Sie gerade jetzt die „App-Seite“ von Nomad besuchen [2022-08-02T14:25Z], werden Sie feststellen, dass der Dienst vollständig ausgesetzt ist, wobei die Schaltfläche, die Sie normalerweise verwenden würden, um einen Kryptotoken gegen einen anderen zu tauschen, durch ersetzt wird die Worte ÜBERBRÜCKUNG NICHT VERFÜGBAR:

Als Twitter-Feed des Unternehmens merkt an:

Update: Wir arbeiten rund um die Uhr, um die Situation anzugehen, und haben die Strafverfolgungsbehörden benachrichtigt und führende Unternehmen für Blockchain-Intelligenz und Forensik beauftragt. Unser Ziel ist es, die beteiligten Konten zu identifizieren und die Gelder aufzuspüren und wiederzuerlangen.

1/2

— Nomade (⤭⛓🏛) (@nomadxyz_) 2. August 2022

Im Klartext sieht es so aus, als hätten zahlreiche Unbekannte eine Reihe von Transaktionen auslösen können, die eine enorme Menge verschiedener Kryptocoins ausgezahlt haben, ohne zuvor eine entsprechende Menge einer anderen Kryptowährung einzuzahlen.

Laut Kryptowährungsforscher @samczsun, konnten die Angreifer die Gelder mit einem sogenannten a Angriff wiederholen, das ist genau das, wonach es sich anhört: Sie verwenden einfach die Daten einer früheren Transaktion erneut, wobei jedoch die Kontodaten des ursprünglichen Empfängers durch Ihre eigenen ersetzt werden.

Laut @samczsun hat ein kürzliches Update im Quellcode von Nomad versehentlich den kritischen Test umgangen, bei dem sich das Punktesystem fragte: „Wurde diese Transaktion genehmigt?“

Solange die Transaktionsdaten korrekt strukturiert waren, würde die Überweisung durchgehen…

… so dass sich das einfache Kopieren einer bestehenden Transaktion, aber das Ändern nur des Feldes „Zahlungsempfänger“, als die einfachste und einfachste Möglichkeit herausstellte, Gelder zu sammeln und abzuziehen.

Hanlons Rasiermesser

Wie Sie sich wahrscheinlich vorstellen können, ist nicht jeder bereit zu akzeptieren, dass dies „nur ein Programmierfehler“ war, wenn auch ein furchtbar teurer, mit Berichten, die darauf hindeuten, dass Kryptotoken im Wert von etwa 200,000,000 US-Dollar aus dem System geraubt wurden, was @samczsun beschrieben hat „ein rasender Alleskönner“:

12/ tl;dr ein routinemäßiges Upgrade markierte den Null-Hash als gültige Wurzel, was dazu führte, dass Nachrichten auf Nomad gespooft werden konnten. Angreifer missbrauchten dies, um Transaktionen zu kopieren/einzufügen, und leerten die Brücke schnell in einem hektischen Free-for-all

- samczsun (@samczsun) 2. August 2022

Einige Twitterati verwenden das Wort bereits Rugpull, eine abwertende Phrase in der Kryptocoin-Welt, die verwendet wurde, um zu implizieren, dass ein Kryptowährungs-Hack eine Art Insider-Job war, der absichtlich ermöglicht oder durchgeführt wurde. (Um es klarzustellen, es gibt keine Beweise, die einen dieser Vorschläge stützen.)

Aber als Prinzip bekannt Hanlons Rasiermesser scherzhaft formuliert, muss man nicht von Bosheit ausgehen, wenn Inkompetenz eine alternative Erklärung ist.

Was ist zu tun?

Wir wissen nicht wirklich, welchen Rat wir geben sollen, außer zwei Arten von Vorsicht zu gebieten:

• Beeilen Sie sich nicht, sich der sogenannten DeFi-Revolution anzuschließen. Dezentrale Finanzen, oder Web 3.0, ist ein Vehikel für den Online-Handel, das darauf abzielt, der traditionellen Welt der stark regulierten, zentralisierten Finanzdienstleistungen zu entkommen. DeFi-Dienste zielen darauf ab, Einzelpersonen zu ermöglichen, direkt und fast sofort miteinander durch Online-Zahlungsanweisungen zu handeln, die oft in Form von spezialisiertem Programmcode ausgedrückt werden. Aber ohne die regulatorischen Rahmenbedingungen, die traditionelle Finanzinstitute umgeben, sind Ihre Chancen, nach Fehlern (oder, was das betrifft, nach Insider-Schurken) Geld zurückzubekommen, gering. Wenn das Unternehmen wirklich kein Geld mehr hat, weil Cyberkriminelle ein Schlupfloch gefunden und sich mit dem ganzen Geld davongemacht haben, dann ist die Insolvenz fast unvermeidlich. Es gibt keinen staatlichen Sanierungsfonds, der eine grundlegende Entschädigung bietet, wie es bei den Mainstream-Banken in vielen Ländern der Fall ist.
• Achten Sie auf selbsternannte Recovery-Experten, die Sie nach einer DeFi-Katastrophe kontaktieren. Eine der häufigsten Arten von Kommentarbetrug, die wir auf der Website von Naked Security sehen (wir moderieren Kommentare sowohl automatisch als auch manuell, um zu verhindern, dass sie durchkommen) ist das „Zeugnis zur Wiedererlangung unerbetener Gelder“. Diese Kommentare, die normalerweise auf Artikel abzielen, in denen wir Kryptocoin-Fehler diskutieren, geben vor, dass der Kommentator bei einem Kryptowährungsstich schwer verloren hat, aber den größten Teil oder alle seiner Gelder wiedererlangt hat, indem er sich an Unternehmen X oder Person Y oder Social-Media-Konto Z gewandt hat. Diese Gefälschte Werbung für betrügerische Geld-zurück-Dienste mag verlockend klingen, insbesondere wenn sie behaupten, eine Art „No-Win-No-Fee“-Service anzubieten. Die Wahrheit ist jedoch, dass Kryptogelder, die bei pseudoanonymen Angriffen dieser Art abgeschöpft wurden, selten wiedererlangt werden, selbst wenn die Strafverfolgungsbehörden und die Gerichte aktiv beteiligt sind. Werfen Sie schlechtem Geld kein gutes hinterher.

Erinnern Sie sich: Wenn es zu gut klingt, um wahr zu sein, IST es zu gut, um wahr zu sein.

Und das gilt für Kryptografie- und Datensicherheitsversprechen genauso wie für finanzielle Renditen.