Nómada: se descubre la falla, luego se usan cientos de direcciones

El 1 de agosto de 2022, las reservas del Puente Nómada se vaciaron gradualmente. Este sistema debe transmitir mensajes verificados entre blockchains. Sin embargo, un cambio de configuración hace que los mensajes que no deben ser reconocidos como válidos sean aceptados.

El valor predeterminado es inicializar un valor de confianza. La falta de evidencia puede ser tratada como un estado aceptable. El error es particularmente grave porque afecta a la decisión fundamental del puente: ¿deberíamos permitir la salida de estos activos?

Después de los primeros retiros fraudulentos, otros actores entienden que pueden reproducir el principio observado. Más de 300 direcciones participan en el evento según el balance de Nomad. Esto no significa necesariamente 300 personas separadas: una persona puede controlar múltiples direcciones.

La cantidad robada supera los 180 millones de dólares, a menudo redondeada a unos 190 millones de dólares en análisis. La multitud de operadores hace que la situación sea inusual. Algunos se presentan como personas que han protegido los fondos, otros los guardan o los dispersan.

Nomad interrumpe su servicio, organiza una respuesta y publica un procedimiento de devolución de activos. Los fondos están regresando, pero solo ver una dirección participar no es suficiente para darle una intención protectora. Los reembolsos deben distinguirse del importe total pagado.

Este caso es menos la historia de un genio solitario que la de una regla defectuosa que se ha hecho visible. Cuando una primera explotación revela una debilidad reutilizable, el ataque puede cambiar de escala incluso antes de que la reparación esté disponible.