Cryptocoin “token swapper” Nomad, kodlama hatasında 200 milyon dolar kaybetti

Kripto para protokolü Göçebe (PowerShell'in ilk çıktığında adı Monad ile karıştırılmamalıdır) kendini tanımlar as "zincirler arası güvenli iletişimi sağlayan iyimser bir birlikte çalışabilirlik protokolü" ve bunun bir olduğunu vaat ediyor “önce güvenlik zincirler arası mesajlaşma protokolü.”

Basit bir dille ifade etmek gerekirse, jargonda şu şekilde bilinen bir ticarette, bir tür kripto para tokenını diğeriyle takas etmenize izin vermesi gerekiyor. köprü.

Hizmet bir şirket tarafından işletilmektedir ismiyle gidiyor of Hayali Sistemler A.Ş.

Ne yazık ki, siber güvenlik söz konusu olduğunda, kelime hayali oldukça iyi uyuyor gibi görünüyor.

Aslında, şu anda Nomad "uygulama sayfasını" ziyaret ederseniz [2022-08-02T14:25Z], hizmetin tamamen askıya alındığını, genellikle bir kripto tokenı başka bir kripto parayla takas etmek için kullandığınız düğmenin değiştirildiğini fark edeceksiniz. KÖPRÜLEME MEVCUT DEĞİL kelimeleri:

Şirketin Twitter beslemesi olarak notlar:

Güncelleme: Durumu ele almak için 24 saat çalışıyoruz ve kolluk kuvvetlerine bilgi verdik ve blockchain istihbaratı ve adli tıp alanında önde gelen firmaları görevlendirdik. Amacımız ilgili hesapları tespit etmek ve fonları takip edip kurtarmaktır.

1/2

— Göçebe (⤭⛓🏛) (@nomadxyz_) Ağustos 2, 2022

Açıkça söylemek gerekirse, bilinmeyen çok sayıda kişi, önce başka herhangi bir kripto para birimine eşdeğer miktarda ödeme yapmadan, muazzam miktarda çeşitli kripto paraların ödendiği bir dizi işlemi tetikleyebilmiş gibi görünüyor.

Kripto para araştırmacısına göre @samsun_guzelSaldırganlar, adı verilen yöntemi kullanarak fonları ele geçirmeyi başardılar. tekrar saldırısı, kulağa tam olarak böyle geliyor: önceki bir işlemdeki verileri yeniden kullanırsınız, ancak orijinal alıcının hesap ayrıntıları kendi hesap ayrıntılarınızla değiştirilir.

@samczsun'a göre Nomad kaynak kodundaki son güncelleme, sistemin kendisine "Bu işlem onaylandı mı?" sorusunu sorduğu noktada kritik testi yanlışlıkla atladı.

İşlem verileri doğru yapılandırıldığı sürece aktarım gerçekleşecektir...

…böylece mevcut bir işlemi kopyalamak, ancak yalnızca "alacaklı" alanını değiştirmek, toplamanın ve fonları boşaltmanın en basit ve en kolay yolu olduğu ortaya çıktı.

Hanlon'un Jileti

Muhtemelen tahmin edebileceğiniz gibi, @samczsun'un tanımladığı şekilde sistemden yaklaşık 200,000,000 dolarlık kriptotokenin sızdırıldığını öne süren raporlar nedeniyle, korkunç derecede pahalı da olsa herkes bunun "sadece bir programlama hatası" olduğunu kabul etmeye hazır değil. “herkese açık çılgın bir yer”:

12/tl;dr rutin bir yükseltme, sıfır hash'i geçerli bir kök olarak işaretledi, bu da Nomad'de mesajların aldatılmasına izin verme etkisine sahipti. Saldırganlar bunu işlemleri kopyalayıp yapıştırmak için kötüye kullandılar ve herkes için çılgın bir şekilde köprüyü hızla boşalttılar

- samczsun (@samczsun) Ağustos 2, 2022

Bazı Twitterlılar bu kelimeyi zaten kullanıyor engebeliKripto para dünyasında aşağılayıcı bir ifade olan bu ifade, kripto para birimi hacklemesinin bir tür içeriden yapılan bir iş olduğunu, bilerek etkinleştirildiğini veya gerçekleştirildiğini ima etmek için kullanılır. (Açık olmak gerekirse, bu önerilerin hiçbirini destekleyecek hiçbir kanıt yoktur.)

Ancak bilinen bir prensip olarak Hanlon'un Jileti Şakacı bir şekilde ifade edersek, beceriksizlik alternatif bir açıklama olduğunda kötü niyet varsaymaya gerek yok.

Ne yapalım?

İki tür uyarıda bulunmak dışında ne tür bir tavsiye sunacağımızı gerçekten bilmiyoruz:

• Sözde DeFi devrimine katılmak için acele etmeyin. Merkezi olmayan finansWeb 3.0 veya Web XNUMX, yüksek düzeyde düzenlenmiş, merkezi finansal hizmetlerin geleneksel dünyasından kaçmayı amaçlayan bir çevrimiçi ticaret aracıdır. DeFi hizmetleri, bireylerin genellikle özel program kodu biçiminde ifade edilen çevrimiçi ödeme talimatları aracılığıyla birbirleriyle doğrudan ve neredeyse anında ticaret yapmalarına olanak sağlamayı amaçlamaktadır. Ancak geleneksel finansal kurumları çevreleyen düzenleyici çerçeveler olmadan, hatalardan sonra (ya da içeriden öğrenilen sahtekarlıklardan sonra) parayı geri alma şansınız çok zayıf. Siber suçlular bir boşluk bulup hepsini tükettiği için şirketin gerçekten hiç parası kalmadıysa, iflas neredeyse kaçınılmazdır. Birçok ülkede ana akım bankalarda olduğu gibi, temel tazminatı sağlayacak bir hükümet kurtarma fonu yok.
• Bir DeFi felaketinden sonra sizinle iletişime geçen, kendini beğenmiş kurtarma uzmanlarına dikkat edin. Naked Security sitesinde gördüğümüz en yaygın yorum dolandırıcılığı türlerinden biri (yorumların ulaşmasını engellemek amacıyla yorumları hem otomatik hem de manuel olarak yönetiyoruz) "istenmeyen fon kurtarma referansları"dır. Genellikle kriptocoin hatalarını tartıştığımız makaleleri hedef alan bu yorumlar, yorumcunun bir kripto para saldırısında kötü bir şekilde kaybettiğini, ancak X şirketiyle, Y kişisiyle veya Z sosyal medya hesabıyla iletişime geçerek fonlarının çoğunu veya tamamını geri aldığını iddia ediyor. Bunlar Sahte para iade hizmetlerine yönelik sahte reklamlar, özellikle de bir tür "kazanmayan-ücretsiz" hizmet sunduklarını iddia ediyorlarsa, cazip gelebilir. Ancak gerçek şu ki, bu tür sahte anonim saldırılarda akıtılan kripto para fonları, kolluk kuvvetleri ve mahkemeler aktif olarak dahil olsa bile nadiren geri kazanılıyor. İyi parayı kötünün üstüne atmayın.

Unutmayın: eğer kulağa gerçek olamayacak kadar iyi geliyorsa, gerçek olamayacak kadar iyidir.

Bu, finansal getiriler için olduğu kadar kriptografik ve veri güvenliği vaatleri için de geçerli.