Cryptocoin "מחליף אסימונים" Nomad מפסיד 200 מיליון דולר בטעות קידוד

פרוטוקול מטבעות קריפטו נוד (לא להתבלבל עם Monad, כך קראו ל-PowerShell כשהיא יצאה לראשונה) מתאר את עצמו as "פרוטוקול יכולת פעולה הדדית אופטימית המאפשר תקשורת צולבת שרשרת מאובטחת," ומבטיח שזה א "פרוטוקול הודעות חוצה שרשרת ראשון באבטחה."

באנגלית פשוטה, זה אמור לאפשר לך להחליף אסימוני מטבעות קריפטוגרפיים מסוג אחד באחר, במסחר המכונה בעגה גישור.

השירות מופעל על ידי חברה הולך לפי השם of Illusory Systems, Inc.

למרבה הצער, כשזה מגיע לאבטחת סייבר, המילה מַשׁלֶה נראה מתאים למדי.

ואכן, אם תבקר ב"דף האפליקציה" של Nomad עכשיו [2022-08-02T14:25Z], תבחין שהשירות מושעה לחלוטין, כשהלחצן שבו אתה משתמש בדרך כלל כדי להחליף cryptotoken אחד באחר. המילים BIDGING Unavailable:

כעדכון הטוויטר של החברה הערות:

עדכון: אנו עובדים מסביב לשעון כדי לטפל במצב והודענו לרשויות אכיפת החוק ושמרנו על חברות מובילות למודיעין וזיהוי פלילי של בלוקצ'יין. המטרה שלנו היא לזהות את החשבונות המעורבים ולאתר ולהחזיר את הכספים.

1/2

— Nomad (⤭⛓🏛) (@nomadxyz_) אוגוסט

במפורש, נראה שאנשים רבים לא ידועים הצליחו להפעיל סדרה של עסקאות ששילמו כמות עצומה של מטבעות קריפטו שונים, מבלי לשלם תחילה בסכום שווה ערך מכל מטבע קריפטוגרפי אחר.

לפי חוקר מטבעות קריפטוגרפיים @samczsun, התוקפים הצליחו לתפוס את הכספים באמצעות מה שמכונה א התקפה חוזרת, וזה בדיוק מה שזה נשמע: אתה פשוט משתמש מחדש בנתונים מעסקה קודמת, אבל עם פרטי החשבון של הנמען המקורי מוחלפים בפרטי החשבון שלך.

לפי @samczsun, עדכון אחרון בקוד המקור של Nomad עקף בטעות את המבחן הקריטי, כאשר מערכת הנקודות שאלה את עצמה, "האם העסקה הזו אושרה?"

כל עוד נתוני העסקה היו בנויים כהלכה, ההעברה תעבור...

... כך שפשוט העתקת עסקה קיימת, אך שינוי רק בשדה "מוטב", התבררה כדרך הפשוטה והקלה ביותר לגייס ולנקז כספים.

התער של הנלון

כפי שאתם בוודאי יכולים לתאר לעצמכם, לא כולם מוכנים לקבל שזאת הייתה "רק טעות תכנות", אם כי יקרה להחריד, עם דיווחים המצביעים על כך שכ-200,000,000 דולר ב-cryptotokens הועלו מהמערכת במה ש-@samczsun תיאר בתור "חופשי מטורף לכולם":

12/ tl;dr שדרוג שגרתי סימן את האפס האש כשורש חוקי, מה שהביא לאפשרות לזייף הודעות ב-Nomad. תוקפים ניצלו זאת כדי להעתיק/להדביק עסקאות ורוקנו במהירות את הגשר בטירוף חופשי לכולם

- samczsun (@samczsun) אוגוסט

כמה טוויטרטים כבר משתמשים במילה שטיח, ביטוי מזלזל בעולם ה-cryptocoin, נהג לרמוז שפריצת מטבעות קריפטוגרפית היא סוג של עבודה פנימית, שהתאפשרה או בוצעה בכוונה. (כדי להיות ברור, אין ראיות התומכות באף אחת מההצעות הללו.)

אבל, כעיקרון המכונה התער של הנלון מנסח זאת בצחוק, אין צורך להניח רשעות כאשר חוסר יכולת היא הסבר חלופי.

מה לעשות?

אנחנו לא באמת יודעים איזו עצה להציע, מלבד לעורר שני סוגים של זהירות:

• אל תמהר להצטרף למה שנקרא מהפכת DeFi. מימון מבוזר, או Web 3.0, הוא כלי למסחר מקוון שמטרתו לברוח מהעולם המסורתי של שירותים פיננסיים מרוכזים מאוד. שירותי DeFi שואפים לאפשר לאנשים לסחור ישירות וכמעט מיד אחד עם השני באמצעות הוראות תשלום מקוונות, המתבטאות לרוב בצורה של קוד תוכנית מיוחד. אבל ללא המסגרות הרגולטוריות שמקיפות תאגידים פיננסיים מסורתיים, הסיכוי שלך להחזיר כסף בעקבות טעויות (או, לצורך העניין, לאחר פשלות פנימיות) קלושים. אם לחברה באמת לא נשאר כסף כי פושעי סייבר מצאו פרצה והסתדרו עם כל זה, אז פשיטת רגל היא כמעט בלתי נמנעת. אין קרן הבראה ממשלתית למתן פיצויים בסיסיים, כפי שיש בבנקים מיינסטרים במדינות רבות.
• היזהרו ממומחים להחלמה בעלי סגנון עצמי שיפנו אליכם לאחר קטסטרופה של DeFi. אחד הסוגים הנפוצים ביותר של הונאת תגובות שאנו רואים באתר Naked Security (אנו ממתנים תגובות הן באופן אוטומטי והן באופן ידני במאמץ למנוע מהן לעבור) היא "העדות להחזר כספים בלתי רצויים". הערות אלו, בדרך כלל מכוונות למאמרים שבהם אנו דנים בטעויות קריפטו-מטבעות, מעמידות פנים שהמגיב הפסיד קשות בעוקץ של מטבעות קריפטוגרפיים, אך החזיר את רוב או כל הכספים שלו על ידי פנייה לחברה X, או יחיד Y, או חשבון המדיה החברתית Z. פרסומות מזויפות לשירותי החזר כספים בהונאה עשויות להישמע מפתות, במיוחד אם הן טוענות שהן מציעות איזשהו שירות "ללא ניצחון-ללא עמלה". עם זאת, האמת היא שכספי קריפטו-קוין שנגרמו בהתקפות פסאודו-אנונימיות מסוג זה, לעיתים רחוקות מוצאים, אפילו כאשר רשויות אכיפת החוק ובתי המשפט מעורבים באופן פעיל. אל תזרוק כסף טוב אחרי רע.

זכור: אם זה נשמע טוב מכדי להיות אמיתי, זה טוב מכדי להיות אמיתי.

וזה נכון לגבי הבטחות קריפטוגרפיות ואבטחת נתונים, בדיוק כמו לגבי תשואות פיננסיות.