Nomad 'Crowd-looting' utlöser utvandring från andra blockkedjor

Användare har flytt blockkedjor som är anslutna till Nomad, bryggprotokollet som tömdes i en exploatering måndag kväll.

På tisdagen hade användare dragit tillbaka mer än hälften av värdet låst i Moonbeam, och en tredjedel av värdet låst i Cardano sedan attacken började, enligt data på Defi Llama.

Broar tillåter användare att flytta digitala tillgångar mellan annars inkompatibla blockkedjor och har visat sig vara ett lukrativt mål för hackare. 

"Plundring av folksamlingar"

Med ca 190 miljoner dollar stulenMåndagens hack var det tredje största 2022 och det femte största i DeFis historia, enligt en "leader” underhålls av kryptonyhetswebbplatsen Rekt. Endast hacken av Axie Infinitys Ronin-brygga och Solanas Wormhole-brygga var större, på $624M respektive $326M. 

Twitter-användare foobar kallade det "den första decentraliserade publikplundringen av en 9-siffrig bro i historien."

Experter som tog till sociala medier den här veckan sa att pengarna inte togs av en enda, kapabel hackare utan av dussintals människor som såg kryptomotsvarigheten till en olåst herrgård och gick in för att ta tag i vad de kunde utföra.

Nomad Bridge hackad med $45 miljoner stulna

Matt Gleason, en säkerhetsforskare vid riskkapitalföretaget a16z, sa att exploateringen liknade den som användes för att stjäla 80 miljoner dollar från Qbit i början av året.

"En osäker konfiguration av bryggan orsakade en specifik väg för att tillåta alla transaktioner skickade," han skrev på Twitter, "vilket betyder att allt du behöver göra är att be om alla brons pengar så får du det."

Kryptosäkerhetsföretaget Zellic beskrev felet som möjliggjorde utnyttjandet i en Twitter-tråd på måndagen.

Osofistikerade angripare

"Denna sårbarhet var så allvarlig att till och med osofistikerade angripare kunde beväpna den, direkt," Zellic Tweeted. "Allt de behövde göra var att ändra adressen till mottagaren."

Minst sex barmhärtiga samariter - kända i industrispråk som hackare med vita hattar - kunde slänga bort mer än 8 miljoner dollar för förvaring innan andra kunde stjäla den, enligt kryptosäkerhetsföretaget Peckshield.

Protokoll som använde Nomad-bron såg betydande utflöden i spåren av hacket. Förutom Cardano och Moonbeam, två av de trettio största blockkedjorna mätt med totalt värde låst, förlorade mindre blockkedjor Evmos och Milkomeda också mer än en tredjedel av sitt totala värde under 24 timmar efter hacket, enligt Defiant Llama.

Dans på Nomads grav

Evmos grundare Federico Kunze Küllmer gick till Twitter för att kritisera andra som dansar på Nomads grav på tisdag. 

"Även de smartaste teamen (dApps och L1s) kan drabbas av uppgraderingsbuggar. Nästan alla de bästa @cosmos-kedjorna har gjort det tidigare, säger han skrev, med hänvisning till en annan Layer 1 blockchain. "Vi samordnar direkt med Nomad-teamet och med vårt samhälle för att besluta om nästa steg."

Representanter för Evmos och Moonbeam svarade inte omedelbart på en begäran om kommentar på tisdagen. 

Stulna pengar

I en meddelandet, sade Nomad att de arbetade med brottsbekämpande myndigheter och "ledande företag för blockchain-intelligens och kriminalteknik" för att hitta och hämta de stulna pengarna, och tackade "våra vita hattvänner." Nomads medgrundare Barbara Liau och Pranay Mohan returnerade inte meddelanden som begärde kommentarer på tisdagen. 

Men vissa tvivlade på idén att pengarna skulle kunna hämtas.

"Ingenting att göra just nu förutom att få pengar tillbaka från vita hattar som tömdes förebyggande," Nassim Eddequiouaq, A16z:s informationssäkerhetschef, Tweeted.