Cryptocoin "토큰 교환기" Nomad는 코딩 실수로 200억 달러 손실

암호화폐 프로토콜 유목민 (PowerShell이 ​​처음 나왔을 때 호출되었던 Monad와 혼동하지 마십시오) 묘사하다 as "안전한 크로스체인 통신을 가능하게 하는 낙관적 상호운용성 프로토콜" 그리고 약속합니다 "보안 우선 크로스 체인 메시징 프로토콜."

일반 영어로 전문 용어로 알려진 거래에서 한 종류의 암호화폐 토큰을 다른 종류로 교환할 수 있도록 합니다. 가교.

회사에서 운영하는 서비스 이름으로 가는 of 환상 시스템, Inc.

불행히도 사이버 보안과 관련하여 환상 오히려 잘 맞는 것 같다.

실제로 지금 Nomad "앱 페이지"[2022-08-02T14:25Z]를 방문하면 서비스가 완전히 일시 중단되고 일반적으로 하나의 암호 토큰을 다른 암호로 교환하는 데 사용하는 버튼이 다음으로 대체되었음을 알 수 있습니다. BRIDGING UNAVAILABLE이라는 단어:

회사의 트위터 피드로 노트:

업데이트: 우리는 상황을 해결하기 위해 XNUMX시간 노력하고 있으며 법 집행 기관에 통지하고 블록체인 인텔리전스 및 포렌식을 위해 선도 기업을 유지했습니다. 우리의 목표는 관련된 계정을 식별하고 자금을 추적 및 회수하는 것입니다.

1/2

— 노마드 (⤭⛓🏛) (@nomadxyz_) 2022 년 8 월 2 일

간단히 말해서, 알려지지 않은 수많은 사람들이 다른 암호화폐와 동등한 금액을 먼저 지불하지 않고도 엄청난 양의 다양한 암호화폐를 지불하는 일련의 거래를 촉발할 수 있었던 것처럼 보입니다.

암호화폐 연구원에 따르면 뿡뿡, 공격자는 리플레이 공격, 정확히 같은 소리입니다. 단순히 이전 거래의 데이터를 재사용하지만 원래 수취인의 계정 세부 정보가 귀하의 계정 정보로 대체됩니다.

@samczsun에 따르면 Nomad 소스 코드의 최근 업데이트는 포인트 시스템이 "이 거래가 승인되었습니까?"

트랜잭션 데이터가 올바르게 구성되어 있는 한 전송은…

...따라서 단순히 기존 거래를 복사하고 "수취인" 필드만 수정하는 것이 소집을 통과하고 자금을 배출하는 가장 간단하고 쉬운 방법으로 판명되었습니다.

한론의 면도기

상상할 수 있듯이 모든 사람이 이것이 "단순한 프로그래밍 실수"였다는 것을 받아들일 준비가 되어 있지는 않지만 @samczsun이 설명한 시스템에서 약 200,000,000달러의 크립토토큰이 유출되었다는 보고가 있습니다. “열광적인 자유를 위해”:

12/ tl;dr 일상적인 업그레이드는 XNUMX 해시를 유효한 루트로 표시하여 Nomad에서 메시지를 스푸핑할 수 있도록 하는 효과가 있었습니다. 공격자들은 이것을 악용하여 거래를 복사/붙여넣기하고 열광적인 자유투에서 빠르게 브리지를 고갈시켰습니다.

— samczsun(@samczsun) 2022 년 8 월 2 일

일부 Twitterati는 이미 이 단어를 사용하고 있습니다. 러플, 암호 화폐 세계에서 경멸적인 표현으로 암호 화폐 해킹이 일종의 내부 작업이며 의도적으로 활성화되거나 수행되었음을 암시하는 데 사용됩니다. (분명히, 이러한 제안을 뒷받침할 증거는 없습니다.)

그러나 로 알려진 원칙으로 한론의 면도기 농담으로 말해서, 무능이 대안적 설명일 때 악의를 품을 필요가 없습니다.

무엇을해야 하는가?

우리는 두 가지 종류의 주의를 촉구하는 것 외에 어떤 조언을 제공해야 할지 모릅니다.

• 이른바 DeFi 혁명에 동참하기 위해 서두르지 마십시오. 분산 금융, 또는 Web 3.0은 고도로 규제되고 중앙 집중화된 금융 서비스의 전통적인 세계에서 탈출하는 것을 목표로 하는 온라인 거래 수단입니다. DeFi 서비스는 개인이 종종 전문 프로그램 코드의 형태로 표현되는 온라인 지불 지침을 통해 서로 직접적으로 거의 즉시 거래할 수 있도록 하는 것을 목표로 합니다. 그러나 전통적인 금융 기관을 둘러싸고 있는 규제 프레임워크가 없으면 실수로 인해(또는 내부자 사기 이후) 돈을 회수할 가능성이 희박합니다. 사이버 범죄자가 허점을 발견하고 모든 것을 도용하여 회사에 진정으로 남은 돈이 없다면 파산은 거의 불가피합니다. 많은 국가의 주류 은행과 마찬가지로 기본 배상을 제공하는 정부 복구 기금이 없습니다.
• DeFi 재앙 후에 연락하는 자칭 복구 전문가를 조심하십시오. Naked Security 사이트에서 볼 수 있는 가장 일반적인 댓글 사기 유형 중 하나(우리는 이러한 댓글이 통과하는 것을 막기 위해 자동 및 수동으로 댓글을 검토함)는 "원치 않는 자금 회수 추천서"입니다. 일반적으로 우리가 크립토코인 실수에 대해 논의하는 기사를 대상으로 하는 이러한 댓글은 댓글 작성자가 암호 화폐 문제로 심하게 손해를 입었지만 회사 X, 개인 Y 또는 소셜 미디어 계정 Z에 연락하여 자금의 대부분 또는 전부를 회수했다고 가장합니다. 사기성 환불 서비스에 대한 가짜 광고는 유혹적으로 들릴 수 있습니다. 특히 그들이 일종의 "무승부(no-win-no-fee)" 서비스를 제공한다고 주장하는 경우에는 더욱 그렇습니다. 그러나 이러한 종류의 유사 익명 공격으로 빼돌린 암호화폐 자금은 법 집행 기관과 법원이 적극적으로 개입하더라도 거의 회수되지 않는 것이 사실입니다. 나쁜 다음에 좋은 돈을 던지지 마십시오.

생각해 내다: 그것이 사실이기에는 너무 좋게 들린다면, 그것은 사실이기에는 너무 좋은 것입니다.

그리고 이는 재정적 수익만큼 암호화 및 데이터 보안 약속에도 적용됩니다.