Nomad "معاوض توکن" کریپتوکوین 200 میلیون دلار در اشتباه کدنویسی از دست داد

پروتکل کریپتوکارنسی خانه بدوش (نباید با Monad اشتباه گرفته شود، همان چیزی است که پاورشل در ابتدا منتشر شد) خودش را توصیف می کند as "یک پروتکل قابلیت همکاری خوشبینانه که ارتباطات زنجیره ای ایمن را امکان پذیر می کند." و قول می دهد که این یک است «پروتکل پیام‌رسانی زنجیره‌ای اول امنیتی».

به زبان انگلیسی ساده، قرار است به شما اجازه دهد توکن‌های ارزهای رمزنگاری‌شده را از یک نوع با دیگری مبادله کنید، در تجارتی که در اصطلاح به آن معروف است. پل زدن.

این سرویس توسط یک شرکت اداره می شود به نام of Illusory Systems, Inc.

متأسفانه، وقتی صحبت از امنیت سایبری می شود، این کلمه وهمی به نظر می رسد که به خوبی مناسب است.

در واقع، اگر در حال حاضر از «صفحه برنامه» Nomad [2022-08-02T14:25Z] بازدید کنید، متوجه خواهید شد که این سرویس به طور کامل به حالت تعلیق درآمده است، با دکمه ای که معمولاً برای مبادله یک رمزارز با دیگری جایگزین می شود. کلمات BRIDGING UNVAILABLE:

به عنوان فید توییتر این شرکت یادداشت ها:

به روز رسانی: ما به طور شبانه روزی برای رسیدگی به وضعیت کار می کنیم و مجری قانون و شرکت های پیشرو در زمینه اطلاعات بلاک چین و پزشکی قانونی را مطلع کرده ایم. هدف ما شناسایی حساب های درگیر و ردیابی و بازیابی وجوه است.

1/2

— عشایر (⤭⛓🏛) (@nomadxyz_) اوت 2، 2022

به وضوح گفته می‌شود، به نظر می‌رسد که افراد ناشناس متعددی توانسته‌اند یک سری تراکنش‌ها را راه‌اندازی کنند که مقدار زیادی از ارزهای دیجیتال مختلف را بدون پرداخت مبلغی معادل ارز دیجیتال دیگر، پرداخت می‌کنند.

به گفته محقق ارزهای دیجیتال samczsun، مهاجمان توانستند با استفاده از چیزی که به عنوان a شناخته می شود، وجوه را تصاحب کنند حمله مجدد، دقیقاً همان چیزی است که به نظر می رسد: شما به سادگی از داده های یک تراکنش قبلی دوباره استفاده می کنید، اما جزئیات حساب گیرنده اصلی با خودتان جایگزین شده است.

به گفته @samczsun، یک به روز رسانی اخیر در کد منبع Nomad به طور سهوی آزمایش حیاتی را دور زد در سیستم نقطه ای از خود پرسید: "آیا این تراکنش تایید شده است؟"

تا زمانی که داده های تراکنش به درستی ساختار یافته باشد، انتقال از طریق…

... به این ترتیب که کپی کردن یک تراکنش موجود، اما تغییر فقط فیلد «مخدر پرداخت»، ساده‌ترین و آسان‌ترین راه برای جمع‌آوری و تخلیه وجوه است.

تیغ هانلون

همانطور که احتمالاً می توانید تصور کنید، همه حاضر نیستند بپذیرند که این "فقط یک اشتباه برنامه نویسی" است، هرچند اشتباهی بسیار گران قیمت، با گزارش ها حاکی از آن است که حدود 200,000,000 دلار رمزارز از سیستم در آنچه @samczsun توصیف می کند، خارج شده است. "یک رایگان دیوانه کننده برای همه":

12/ tl;dr یک ارتقاء معمول، هش صفر را به عنوان یک ریشه معتبر علامت‌گذاری کرد، که باعث شد پیام‌ها در Nomad جعل شوند. مهاجمان از این برای کپی/پیست کردن تراکنش‌ها سوء استفاده کردند و به سرعت پل را در حالتی دیوانه‌وار و رایگان برای همه تخلیه کردند.

- samczsun (samczsun) اوت 2، 2022

برخی از توییتراتی ها در حال حاضر از این کلمه استفاده می کنند قالیچه، یک عبارت تحقیرآمیز در دنیای رمزارزها است که به این معنی است که هک ارز دیجیتال نوعی کار داخلی است که فعال یا عمدی انجام شده است. (برای روشن بودن، هیچ مدرکی برای حمایت از هیچ یک از این پیشنهادات وجود ندارد.)

اما، به عنوان یک اصل شناخته شده به عنوان تیغ هانلون به بیان شوخی، زمانی که بی کفایتی یک توضیح جایگزین است، نیازی به فرض سوء نیت نیست.

چه کاری انجام دهید؟

ما واقعاً نمی دانیم چه توصیه ای ارائه دهیم، به جز اینکه دو نوع احتیاط را اصرار کنیم:

• برای پیوستن به انقلاب به اصطلاح DeFi عجله نکنید. مالی غیرمتمرکز، یا وب 3.0، وسیله ای برای تجارت آنلاین است که هدف آن فرار از دنیای سنتی خدمات مالی بسیار منظم و متمرکز است. هدف خدمات DeFi اجازه دادن به افراد برای تجارت مستقیم و تقریباً بلافاصله با یکدیگر از طریق دستورالعمل های پرداخت آنلاین است که اغلب در قالب کد برنامه تخصصی بیان می شود. اما بدون چارچوب‌های نظارتی که موسسات مالی سنتی را احاطه می‌کند، شانس شما برای بازیابی هر پولی پس از اشتباهات (یا، در این مورد، پس از کلاهبرداری داخلی) بسیار اندک است. اگر شرکت واقعاً هیچ پولی نداشته باشد زیرا مجرمان سایبری روزنه‌ای را پیدا کردند و همه آن را برطرف کردند، ورشکستگی تقریباً اجتناب‌ناپذیر است. هیچ صندوق بازیابی دولتی برای ارائه بازپرداخت اولیه وجود ندارد، همانطور که در بانک های اصلی در بسیاری از کشورها وجود دارد.
• مراقب کارشناسان بازیابی خودخوان باشید که پس از یک فاجعه DeFi با شما تماس می گیرند. یکی از رایج‌ترین انواع کلاهبرداری‌های نظری که در سایت Naked Security می‌بینیم (ما نظرات را هم به صورت خودکار و هم به صورت دستی تعدیل می‌کنیم تا جلوی این‌ها را بگیریم) "تصادیر بازیابی وجوه ناخواسته" است. این نظرات، که معمولاً با هدف مقاله‌هایی هستند که در آنها درباره اشتباهات کریپتوکوین بحث می‌کنیم، وانمود می‌کنند که نظردهنده در اثر یک ضربه ارز دیجیتال به شدت ضرر کرده است، اما با تماس با شرکت X، یا فرد Y، یا حساب رسانه اجتماعی Z، بیشتر یا تمام وجوه خود را بازیابی کرده است. تبلیغات جعلی برای خدمات بازپرداخت پول تقلبی ممکن است وسوسه انگیز به نظر برسند، به خصوص اگر ادعا کنند که نوعی خدمات "بدون برد-بدون کارمزد" را ارائه می دهند. با این حال، حقیقت این است که وجوه ارزهای رمزنگاری شده در حملات شبه ناشناس از این نوع، به ندرت بازیابی می شود، حتی زمانی که مجری قانون و دادگاه ها به طور فعال درگیر هستند. پول خوب را پشت سر بد نیندازید.

یاد آوردن: اگر برای واقعی بودن خیلی خوب به نظر می رسد، برای واقعی بودن خیلی خوب است.

و این برای وعده های رمزنگاری و امنیت داده ها صدق می کند، درست به همان اندازه که برای بازده مالی صدق می کند.