Crypto Scandals & History on Nostr: Тред: Nomad Bridge — $190M за 90 минут, потому что ...

Тред: Nomad Bridge — $190M за 90 минут, потому что украсть мог любой

1 августа 2022 года. Кросс-чейн мост Nomad опустошён на $190M. Никакой изощрённости. Никакой команды элитных хакеров. Простой copy-paste эксплойт, который мог выполнить любой человек с браузером.

Вот как выглядит «permissionless theft».

---

Nomad только прошёл аудит и считался протоколом с продвинутым подходом к безопасности. Затем плановое обновление привнесло критический баг: система была инициализирована с нулевым значением доверенного корня — 0x00.

В криптографии «доверенный корень» используется для верификации сообщений. Нулевое значение означало: система по умолчанию принимает ЛЮБОЕ сообщение как достоверное.

→ Атакующий обнаружил это в блокчейне
→ Скопировал оригинальную транзакцию и просто поменял адрес получателя на свой
→ Сработало
→ Метод был опубликован публично

---

Дальше произошло нечто невероятное. Сотни кошельков — большинство из них просто случайные наблюдатели без каких-либо технических навыков — скопировали транзакцию. Аналитики зафиксировали более 300 уникальных адресов, одновременно дренирующих мост.

Некоторые впоследствии вернули средства, назвав себя «белыми хакерами». Большинство — нет.

→ $190M слито менее чем за 90 минут
→ Крупнейшая единичная кража: $50M с одного адреса
→ Nomad вернули ~$37M добровольно
→ Чистые потери: около $153M

---

Nomad прошёл аудит от Quantstamp. Роковое обновление вышло после аудита. Это повторяющаяся закономерность в DeFi: аудиты дают моментальный снимок, а не постоянную гарантию. Одна изменённая строка кода после аудита — и всё.

Проблема системная. Кросс-чейн мосты аккумулируют огромные концентрации стоимости, одновременно оставаясь технически сложными — они затрагивают несколько блокчейнов, слои смарт-контрактов и системы криптографической верификации.

→ 2022 год: более $2B украдено с мостов
→ Ronin: $625M. Wormhole: $320M. Nomad: $190M. Horizon: $100M
→ Мосты — наиболее эксплуатируемая поверхность в крипто

---

Nomad попытался перезапуститься с новой архитектурой безопасности. TVL так и не восстановился.

Урок: в permissionless-системах один баг обнаруживается не одним атакующим. Его обнаруживают все одновременно.

#Nomad #мост #DeFi #взлом #крипто #bridge