以太幣交易所 以太幣交易所
Ctrl+D 以太幣交易所
ads

金色觀察|“首次去中心化搶劫”:還原Nomad被攻擊始末_BTC

Author:

Time:1900/1/1 0:00:00

8月2日7時,加密KOL@0xfoobar發推稱,跨鏈互操作性協議Nomad橋正在被黑客攻擊,WETH和WBTC正以每次百萬美元的頻次轉出,合約中仍有1.26億美元可能存在風險。提醒用戶盡快提取資金。最近的一次就有1萬枚以太坊轉出,Nomad橋還有8000萬美元的USDC正在流出。

Nomad官方團隊稱,已知曉涉及Nomad代幣橋的事件,目前正在調查中。受該事件影響,Moonbeam稱:Moonbeam網絡已進入維護模式,以調查網絡上部署的智能合約的安全事件。在此期間,功能將受到限制,用戶將無法執行常規用戶交易和智能合約交互。治理、質押、取消暫停和升級的能力將繼續有效。

截至目前,據defillama數據顯示,NomadTVL中超過1.9億美元的加密貨幣在幾小時內被撤出,錢包中目前僅剩5336美元。Terra研究員FatMan評論此次攻擊事件稱,這是以真正的加密方式——第一次去中心化的搶劫。

分析 | 金色盤面:ZLA/BTC短期內快速上漲回落:金色盤面分析師表示:ZLA/BTC短期內快速上漲回落,振幅較大,注意風險,上方壓力位0.00001140,下方支撐位0.00000919。[2018/8/6]

對此,投資機構Paradigm研究員@samczsun試圖還原黑客攻擊的全過程:

1,一切都開始于@officer_cia分享@spreekawayETHSecurityTelegram頻道的推文。盡管當時并不知道發生了什么事,但從橋上撤離的大量資產來看顯然是一個不好的信號。

分析 | 金色盤面分析師:BTC沖高回落:BTC過去一小時出現了沖高回落走勢,短線受到趨勢線壓制,雖然下方有均線支撐,但是成交量萎縮明顯,這里判斷短線橫盤概率較大。[2018/8/2]

2,第一個想法是代幣的小數點配置有誤。畢竟,橋上好像在運行“發送0.01WBTC,返還100WBTC”的促銷活動。

3,然而,在Moonbeam網絡上進行了一些手動挖掘之后,確認雖然Moonbeam交易確實橋接了0.01WBTC,但以太坊交易以某種方式橋接了100WBTC。

金色財經現場報道 火幣公鏈將投入3000萬HT作為公鏈開發的啟動資產:金色財經6月6日現場報道,在“金融鏈變——火幣集團全球品牌升級發布會”上,火幣生態事業部項目總監陳光宣布,火幣公鏈今日啟動,據了解,火幣集團將拿出3000萬HT作為公鏈開發的啟動資產。同時火幣集團還將計劃將把年收入的一部分投入到火幣公鏈的建設之中,火幣公鏈將成為該領域首個實驗者。[2018/6/6]

4,此外,在WBTC中橋接的交易實際上并沒有證明什么。它只是直接調用了`process`。可以說,能夠在不首先證明的情況下處理消息是非常不好的

金色財經現場報道 EOSIO DAWN3.0面世:金色財經現場報道,4月6日晚間,備受矚目的EOS.io香港見面會如期舉辦,會上發布了EOSIO Dawn 3.0,此預發布版本代表著即將在2018年6月發布的EOSIO 1.0道路上的一個重要里程碑。為了使EOSIO成為構建區塊鏈應用程序的最強大平臺。[2018/4/7]

5,在這一點上,有兩種可能性。要么是在較早的區塊中單獨提交了證明,要么是Replica合約存在嚴重錯誤。但是,絕對沒有跡象表明最近有任何事情被證明。

6,這只剩下一種可能性——副本合約存在致命缺陷。但是怎么做?快速瀏覽表明提交的消息必須屬于可接受的根。否則,第185行的檢查將失敗。

7,幸運的是,有一種簡單的方法可以檢查這個假設。知道沒有被證明的消息的根是0x00,因為messages將未初始化。接下來所要做的就是檢查合同是否會接受它作為根。

8,事實證明,在例行升級期間,Nomad團隊將可信根初始化為0x00。需要明確的是,使用零值作為初始化值是一種常見的做法。不幸的是,在這種情況下,它具有自動驗證每條消息的微小副作用。

9,這就是黑客如此混亂的原因——你不需要了解Solidity或MerkleTrees或類似的東西。你所要做的就是找到一個有效的交易,用你的地址找到/替換對方的地址,然后重新廣播它。

10,例行升級將零哈希標記為有效根,這具有允許在Nomad上欺騙消息的效果。攻擊者濫用它來復制/粘貼交易,并在瘋狂的混戰中迅速耗盡了橋。

A16z應用安全成員MattGleason發推介紹了Nomad被攻擊的原因:

Nomad橋以與Qubit的QBridge類似的方式獲得。橋的不安全配置導致特定路徑允許發送任何事務。錯誤出現在Replica的“進程”函數中。

Process旨在確保消息已被證明,然后處理該消息,這通常應該沒問題。

它使用acceptableRoot來執行此操作,它將檢查根是否已被證明或在當前時間之前已被確認。

出現這個問題是因為在solidity中,如果一個映射鍵在此之前沒有被看到,那么它將默認為零,從而導致嘗試確認根值為零。但是,由于它們初始化時使用的是0的confirmedRoot,這意味著零在技術上是一個已確認的根。

因此,系統會接受任何以前從未見過的消息,并將其當作真實消息來處理,這意味著你所需要做的就是要求所有的橋的錢,你就會得到它。

Paradigm工程師@ParadigmEng420發推提醒用戶如果在Nomad、Evmos、Moonbeam、Milkomeda有任何資金,需要交換出游牧資產,并使用不同的跨鏈橋,盡快回到以太坊或另一個鏈。他還指出,Nomad暫停了中繼器,并試圖使用觀察者審查所有橋接交易,但是,這可能沒什么幫助,因為漏洞利用是在合同方面而不是在基礎設施方面。

Tags:BTCWBTCWBTBTCs是不是黃了btc錢包官網btc短線交易騙局WBTC幣WBTC價格WBT價格WBT幣

比特幣交易
Coinbase和Binance在與SEC的斗爭中失去市場份額 對手嗅到了機會_SEC

作者:DavidThomas,beincrypto編譯:金色財經,善歐巴 摘要 由于美國SEC對Coinbase和Binance提起訴訟,Kraken在美國市場的份額已增長至29%.

1900/1/1 0:00:00
狗狗幣漲士氣了,反彈的先遣部隊已經到來?_BTC

克勞斯維茨上校在《戰爭論》上這樣寫到:"效果是更多的消滅掉敵人的士氣,而不是消滅更多的敵人。"昨天狗狗幣一波38%左右的一輪拉升,整個市場表現出一場沸騰,絕大部分的山寨幣都從下跌的氣氛中被拉了回.

1900/1/1 0:00:00
BTC的長期基本面并沒有發生變化,用歷史的眼光審視未來很危險_BTC

人和動物地最大區別不是語言也不是文字,更準確地說是動腦子,生而為人就是要多運用腦子去做事,人生的信條也應該是做投機取巧的事,死板恪守那只是書呆子氣,書呆子是永遠體會不到投機取巧的樂趣.

1900/1/1 0:00:00
比特幣:有方針方可去留無意望天邊云卷云舒_BTC

BTC強調整,已經跌破22000隨時都有觸碰21300,這波的調整屬于正常回落,這個幅度的回落已經快回落到本段上漲距離的50%,那也預示著后面上漲必然受到限制,會限制在26000附近.

1900/1/1 0:00:00
Meta推出Twitter競品Threads:如何使用 最大特色又是什么_人工智能

作者:金色財經cryptonaitive 要點 1、Threads是一款由Instagram團隊構建的新應用程序,目的是文本分享和公共對話.

1900/1/1 0:00:00
曉其因果法則,無我之中漲跌而已_BLOCK

大到人生,小到K線,看似很曲折很迷惑,其實不過是由于一長串的因果關系鏈條構成。無論是哪樣的因,都會有相對應的果,而原本的果,又會成為另外結果的因,從而導致其他的果,而這些果就構成了其他另外的因,

1900/1/1 0:00:00
ads