अराजक कॉपी-पेस्ट हमले में घुमंतू पुल को $ 190M का नुकसान हुआ

2 अगस्त की तड़के, घुमंतू पुल ने एक अलर्ट पोस्ट किया कि उसे चल रहे कारनामे के बारे में पता था। बाद के घंटों में, पूरे प्रोटोकॉल का $ 190 मिलियन से अधिक का धन समाप्त हो गया।

क्रिप्टो समुदाय डेवलपर और सफेद टोपी 'सैम्ज़सन' ने घटनाओं की श्रृंखला को तोड़ दिया, यह समझाते हुए कि क्या हुआ। उन्होंने हमले को "वेब3 द्वारा देखे गए सबसे अराजक हैक में से एक" करार दिया।

1 / घुमंतू अभी तक $150M से अधिक के लिए सबसे अधिक अराजक हैक में से एक में निकल गया है जिसे Web3 ने कभी देखा है। यह वास्तव में कैसे हुआ, और मूल कारण क्या था? मुझे आपको पर्दे के पीछे ले जाने की अनुमति दें? pic.twitter.com/Y7Q3fZ7ezm

- samczsun (@samczsun) अगस्त 1, 2022

घुमंतू बीच क्रॉस-चेन स्थानान्तरण के लिए एक टोकन पुल है Ethereum, हिमस्खलन, मिल्कोमेडा और मूनबीम।

खानाबदोश निधि समाप्त

शोधकर्ताओं ने ETHSecurity Telegram चैनल में एक ट्वीट साझा किया जिसमें पुल से धन के कई लेन-देन को दिखाया गया है। पहली नज़र में, यह टोकन दशमलव में एक गलत कॉन्फ़िगरेशन प्रतीत होता है, लेकिन samczsun ने खोज की:

"हालांकि, मूनबीम नेटवर्क पर कुछ दर्दनाक मैनुअल खुदाई के बाद, मैंने पुष्टि की कि मूनबीम लेनदेन ने 0.01 डब्ल्यूबीटीसी को पाट दिया, लेकिन किसी तरह एथेरियम लेनदेन 100 डब्ल्यूबीटीसी में मिला।"

जो बात इस कारनामे को अलग बनाती है वह यह है कि लेन-देन 'सिद्ध' नहीं थे और सीधे निष्पादित किए गए थे। "किसी संदेश को पहले साबित किए बिना संसाधित करने में सक्षम होना बहुत अच्छा नहीं है," सैम्ज़सन ने कहा। कोडर ने कुछ और खुदाई की और नियमित घुमंतू उन्नयन के दौरान शुरू किए गए 'प्रतिकृति' स्मार्ट अनुबंध में एक घातक दोष पाया।

उन्होंने कहा कि यह अराजक था क्योंकि क्रिप्टो चोरों को किसी तकनीकी ज्ञान की आवश्यकता नहीं थी। उन्हें बस एक ऐसा लेन-देन खोजने की ज़रूरत थी जो काम करता हो, लक्ष्य पते को अपने स्वयं के पते से बदल देता है, और इसे फिर से प्रसारित करता है।

"एक नियमित उन्नयन ने शून्य हैश को एक वैध रूट के रूप में चिह्नित किया, जिसका प्रभाव घुमंतू पर संदेशों को धोखा देने की अनुमति देने का था। हमलावरों ने लेन-देन को कॉपी/पेस्ट करने के लिए इसका दुरुपयोग किया और पुल को उन्मादी फ्री-फॉर-ऑल में जल्दी से खाली कर दिया।"

टीवीएल से जीरो

खानाबदोश ने पुल पर लौटाए गए धन को चुराने का प्रयास करने वाले फर्जी पते भी खोजे हैं।

हम प्रतिरूपण करने वालों को खानाबदोश के रूप में प्रस्तुत करने और धन एकत्र करने के लिए कपटपूर्ण पते प्रदान करने के बारे में जानते हैं। हम अभी तक ब्रिज फंड वापस करने के निर्देश नहीं दे रहे हैं। घुमंतू के आधिकारिक चैनल के अलावा अन्य सभी चैनलों से आने वाले संदेशों की अवहेलना करें: @nomadxyz_

- घुमंतू (⤭⛓?) (@nomadxyz_) अगस्त 2, 2022

के अनुसार डेफीलामा, पिछले कुछ घंटों में घुमंतू का कुल मूल्य $ 190.38 मिलियन से गिरकर $ 5,336 हो गया है।

रोनिन ब्रिज, वर्महोल और के हाई-प्रोफाइल कारनामों के बाद घुमंतू इस साल का नवीनतम टोकन ब्रिज हमला है। सामंजस्य.