Часть 1. Nomad Bridge: дверь, которую открыла ошибка
1 августа 2022 года из криптомоста Nomad начали исчезать деньги. Причиной оказался не украденный пароль и не суперкомпьютер, а опасная ошибка после обновления смарт-контракта.
Nomad переносил токены между разными блокчейнами и должен был подтверждать каждое сообщение перед выдачей средств. Но из-за неверной настройки система начала принимать часть неподтверждённых сообщений как настоящие.
Первый злоумышленник провёл четыре операции по 100 WBTC. Мост фактически увидел фальшивую квитанцию и ответил: «Всё правильно, держите деньги».
Самое страшное началось чуть позже: транзакции были публичны, поэтому способ ограбления увидели все.
Часть 2. Когда хакером мог стать почти каждый
После первых операций против Nomad Bridge интернет быстро понял: готовый «билет в хранилище» уже лежит в блокчейне.
Сотни адресов начали копировать транзакцию первоначального злоумышленника, менять в ней адрес получателя на свой и отправлять снова. Никакой магии из кино: Copy, Paste — и крипта уезжает на другой кошелёк.
За несколько часов из моста вывели более $186 млн — эту сумму обычно округляют до $190 млн. Один взлом превратился в децентрализованное массовое ограбление без организатора и очереди у кассы.
Позже Nomad предложил вознаграждение до 10% тем, кто добровольно вернёт не менее 90% забранного. Часть участников объявила себя «белыми хакерами» и отправила средства назад.
Мораль проста: прозрачность блокчейна помогает расследовать преступления. Но иногда она ещё и раздаёт преступникам инструкцию.
Источники
Материал носит информационно-развлекательный характер и не является финансовой рекомендацией.