Nomad: Der Fehler wird entdeckt, dann werden Hunderte von Adressen verwendet

Am 1. August 2022 wurden die Reserven der Nomadenbrücke allmählich geleert. Dieses System muss verifizierte Nachrichten zwischen Blockchains übertragen. Eine Konfigurationsänderung führt jedoch dazu, dass Nachrichten, die nicht als gültig erkannt werden sollten, akzeptiert werden.

Standardmäßig wird ein Vertrauenswert initialisiert. Ein Mangel an Beweisen kann als akzeptabler Zustand behandelt werden. Der Fehler ist besonders schwerwiegend, weil er die grundlegende Entscheidung der Brücke beeinflusst: Sollten wir den Ausstieg dieser Vermögenswerte zulassen?

Nach den ersten betrügerischen Abhebungen verstehen andere Akteure, dass sie das beobachtete Prinzip reproduzieren können. Mehr als 300 Adressen nehmen laut Bilanz von Nomad an der Veranstaltung teil. Dies bedeutet nicht unbedingt 300 separate Personen: Eine Person kann mehrere Adressen steuern.

Der gestohlene Betrag übersteigt 180 Millionen US-Dollar und wird in der Analyse oft auf etwa 190 Millionen US-Dollar aufgerundet. Die Vielzahl der Betreiber macht die Situation ungewöhnlich. Einige präsentieren sich als Menschen, die die Gelder geschützt haben, andere halten sie oder verteilen sie.

Nomad unterbricht seinen Service, organisiert eine Antwort und veröffentlicht ein Rückgabeverfahren. Die Mittel kommen zurück, aber nur zu sehen, dass eine Adresse teilnimmt, reicht nicht aus, um ihr eine schützende Absicht zu geben. Die Erstattungen müssen von dem ausbezahlten Gesamtbetrag unterschieden werden.

Dieser Fall ist weniger die Geschichte eines einsamen Genies als die einer defekten Regel, die sichtbar geworden ist. Wenn eine erste Ausnutzung eine wiederverwendbare Schwäche zeigt, kann der Angriff den Maßstab ändern, noch bevor die Reparatur verfügbar ist.