Ο «ανταλλάκτης διακριτικών» κρυπτονομισμάτων Nomad χάνει 200 ​​εκατομμύρια δολάρια σε γκάφα κωδικοποίησης

Πρωτόκολλο κρυπτονομισμάτων Νομάς (δεν πρέπει να συγχέεται με το Monad, όπως ονομαζόταν το PowerShell όταν πρωτοκυκλοφόρησε) περιγράφει ο ίδιος as «ένα αισιόδοξο πρωτόκολλο διαλειτουργικότητας που επιτρέπει την ασφαλή διασυνδετική επικοινωνία», και υπόσχεται ότι είναι α «Πρωτόκολλο ανταλλαγής μηνυμάτων διασταυρούμενης αλυσίδας πρώτης ασφάλειας».

Σε απλά αγγλικά, υποτίθεται ότι σας επιτρέπει να ανταλλάξετε διακριτικά κρυπτονομισμάτων ενός είδους με ένα άλλο, σε ένα εμπόριο που είναι γνωστό στην ορολογία ως Γεφυρώνοντας.

Η υπηρεσία λειτουργεί από εταιρεία με το όνομα of Illusory Systems, Inc.

Δυστυχώς, όταν πρόκειται για την κυβερνοασφάλεια, η λέξη απατηλός φαίνεται να ταιριάζει αρκετά.

Πράγματι, αν επισκεφτείτε τη «σελίδα εφαρμογής» του Nomad αυτήν τη στιγμή [2022-08-02T14:25Z], θα παρατηρήσετε ότι η υπηρεσία έχει ανασταλεί πλήρως, με το κουμπί που συνήθως χρησιμοποιούσατε για να ανταλλάξετε ένα κρυπτοτόκεν με ένα άλλο οι λέξεις BRIDGING UNAVAILABLE:

Ως feed της εταιρείας στο Twitter σημειώσεις:

Ενημέρωση: Εργαζόμαστε όλο το εικοσιτετράωρο για να αντιμετωπίσουμε την κατάσταση και έχουμε ειδοποιήσει τις αρχές επιβολής του νόμου και διατηρήσαμε κορυφαίες εταιρείες για τις πληροφορίες blockchain και την εγκληματολογία. Στόχος μας είναι να εντοπίσουμε τους εμπλεκόμενους λογαριασμούς και να εντοπίσουμε και να ανακτήσουμε τα κεφάλαια.

1/2

— Nomad (⤭⛓🏛) (@nomadxyz_) Αύγουστος 2, 2022

Ξεκάθαρα, φαίνεται ότι πολλά άτομα άγνωστα μπόρεσαν να ενεργοποιήσουν μια σειρά από συναλλαγές που εξόφλησαν μια τεράστια ποσότητα διαφόρων κρυπτονομισμάτων, χωρίς να πληρώσουν πρώτα το ισοδύναμο ποσό οποιουδήποτε άλλου κρυπτονομίσματος.

Σύμφωνα με ερευνήτρια κρυπτονομισμάτων @samczsun, οι επιτιθέμενοι μπόρεσαν να αρπάξουν τα χρήματα χρησιμοποιώντας αυτό που είναι γνωστό ως α επανάληψη επίθεσης, όπως ακριβώς ακούγεται: απλά επαναχρησιμοποιείτε τα δεδομένα από μια προηγούμενη συναλλαγή, αλλά με τα στοιχεία του αρχικού λογαριασμού του παραλήπτη να αντικατασταθούν με τα δικά σας.

Σύμφωνα με τον @samczsun, μια πρόσφατη ενημέρωση στον πηγαίο κώδικα του Nomad παρέκαμψε κατά λάθος την κρίσιμη δοκιμή στο σημείο που το σύστημα αναρωτήθηκε: "Έχει εγκριθεί αυτή η συναλλαγή;"

Εφόσον τα δεδομένα συναλλαγής ήταν σωστά δομημένα, η μεταφορά θα περνούσε…

…έτσι, η απλή αντιγραφή μιας υπάρχουσας συναλλαγής, αλλά η τροποποίηση μόνο του πεδίου «δικαιούχος πληρωμής», αποδείχθηκε ότι ήταν ο απλούστερος και ευκολότερος τρόπος για τη συγκέντρωση και την εξάντληση κεφαλαίων.

Ξυράφι του Χάλον

Όπως μπορείτε πιθανώς να φανταστείτε, δεν είναι όλοι έτοιμοι να αποδεχθούν ότι αυτό ήταν «απλώς μια γκάφα προγραμματισμού», αν και μια τρομερά ακριβή, με αναφορές να υποδηλώνουν ότι περίπου 200,000,000 δολάρια σε κρυπτοτόκενα απορρίφθηκαν από το σύστημα, όπως περιέγραψε ο @samczsun ως “Ένα φρενήρη δωρεάν για όλους”:

12/ tl;dr μια αναβάθμιση ρουτίνας επισήμανε το μηδενικό κατακερματισμό ως έγκυρη ρίζα, η οποία είχε ως αποτέλεσμα να επιτρέπεται η πλαστογράφηση μηνυμάτων στο Nomad. Οι επιτιθέμενοι το έκαναν κατάχρηση για να αντιγράψουν/επικολλήσουν συναλλαγές και γρήγορα αποστράγγισαν τη γέφυρα σε ένα φρενήρειο ελεύθερο για όλους

- samczsun (@samczsun) Αύγουστος 2, 2022

Ορισμένοι Twitterati χρησιμοποιούν ήδη τη λέξη κουβέρτα, μια υποτιμητική φράση στον κόσμο των κρυπτονομισμάτων, που χρησιμοποιείται για να υπονοήσει ότι μια εισβολή κρυπτονομισμάτων ήταν κάποιο είδος εσωτερικής εργασίας, ενεργοποιημένη ή πραγματοποιήθηκε επίτηδες. (Για να είμαστε σαφείς, δεν υπάρχουν στοιχεία που να υποστηρίζουν καμία από αυτές τις προτάσεις.)

Αλλά, ως αρχή γνωστή ως Ξυράφι του Χάλον αστεία το θέτει, δεν υπάρχει λόγος να υποθέσουμε κακία όταν η ανικανότητα είναι μια εναλλακτική εξήγηση.

Τι να κάνω;

Δεν ξέρουμε πραγματικά τι συμβουλές να προσφέρουμε, εκτός από το να προτρέπουμε δύο είδη προσοχής:

• Μην βιαστείτε να συμμετάσχετε στη λεγόμενη επανάσταση του DeFi. Αποκεντρωμένη χρηματοδότηση, ή το Web 3.0, είναι ένα όχημα για διαδικτυακές συναλλαγές που στοχεύει να ξεφύγει από τον παραδοσιακό κόσμο των υψηλά ρυθμιζόμενων, κεντρικών χρηματοοικονομικών υπηρεσιών. Οι υπηρεσίες DeFi στοχεύουν στο να επιτρέπουν στα άτομα να συναλλάσσονται απευθείας και σχεδόν αμέσως μεταξύ τους μέσω ηλεκτρονικών οδηγιών πληρωμής, που συχνά εκφράζονται με τη μορφή εξειδικευμένου κωδικού προγράμματος. Αλλά χωρίς τα ρυθμιστικά πλαίσια που περιβάλλουν τα παραδοσιακά χρηματοπιστωτικά ιδρύματα, οι πιθανότητές σας να ανακτήσετε τυχόν χρήματα μετά από γκάφες (ή, εν προκειμένω, μετά από απάτες από εμπιστευτικές πληροφορίες) είναι ελάχιστες. Εάν η εταιρεία πραγματικά δεν έχει χρήματα, επειδή οι εγκληματίες του κυβερνοχώρου βρήκαν ένα κενό και το ξεπέρασαν, τότε η χρεοκοπία είναι σχεδόν αναπόφευκτη. Δεν υπάρχει κρατικό ταμείο ανάκαμψης για την παροχή βασικών αποζημιώσεων, όπως συμβαίνει με τις κύριες τράπεζες σε πολλές χώρες.
• Προσέξτε τους αυτοαποκαλούμενους ειδικούς ανάκτησης που επικοινωνούν μαζί σας μετά από μια καταστροφή DeFi. Ένας από τους πιο συνηθισμένους τύπους απάτης σχολίων που βλέπουμε στον ιστότοπο Naked Security (συντονίζουμε σχόλια τόσο αυτόματα όσο και χειροκίνητα σε μια προσπάθεια να σταματήσουμε να περνούν) είναι η "μαρτυρία ανάκτησης χρημάτων που δεν ζητήθηκαν". Αυτά τα σχόλια, που συνήθως στοχεύουν σε άρθρα στα οποία συζητάμε γκάφες κρυπτονομισμάτων, προσποιούνται ότι ο σχολιαστής έχασε άσχημα σε ένα τσίμπημα κρυπτονομίσματος, ωστόσο ανέκτησε το μεγαλύτερο μέρος ή όλα τα χρήματά του επικοινωνώντας με την εταιρεία X ή το άτομο Y ή τον λογαριασμό κοινωνικών μέσων Ζ. Οι ψεύτικες διαφημίσεις για δόλιες υπηρεσίες επιστροφής χρημάτων μπορεί να ακούγονται δελεαστικές, ειδικά αν ισχυρίζονται ότι προσφέρουν κάποιο είδος υπηρεσίας «χωρίς κερδοφορία». Η αλήθεια είναι, ωστόσο, ότι τα κεφάλαια κρυπτονομισμάτων που απορρίπτονται σε ψευδο-ανώνυμες επιθέσεις αυτού του είδους σπάνια ανακτώνται, ακόμη και όταν εμπλέκονται ενεργά οι αρχές επιβολής του νόμου και τα δικαστήρια. Μην πετάτε καλά χρήματα μετά το κακό.

Θυμάμαι: αν ακούγεται πολύ καλό για να είναι αληθινό, ΕΙΝΑΙ πολύ καλό για να είναι αληθινό.

Και αυτό ισχύει για τις υποσχέσεις κρυπτογράφησης και ασφάλειας δεδομένων, όπως ισχύει και για τις οικονομικές αποδόσεις.