La scorsa settimana, poche ore dopo la pubblicazione da parte di Nomad bridge di un indirizzo wallet Ethereum per la restituzione dei fondi a seguito dell'hacking da 190 milioni di dollari, gli hacker whitehat hanno restituito circa 32,6 milioni di dollari. La maggior parte dei fondi consisteva in stablecoin come USDC (USDC), Tether (USDT) e Frax, oltre ad altcoin. 

Secondo una ricerca pubblicata da Paul Hoffman di BestBrokers, la vulnerabilità del protocollo Nomad, evidenziata nel recente audit da parte di Quantstamp il 6 giugno, è stata giudicata "a basso rischio". 

Non appena l'exploit è stato scoperto, molti utenti si sono uniti all'attacco copiando la transazione di hacking iniziale, attuando qualcosa di simile ad una "rapina decentralizzata". In meno di tre ore sono stati sottratti a Nomad oltre 190 milioni di dollari in criptovalute. L'attacco è avvenuto solo quattro mesi dopo la raccolta di 22,4 milioni di dollari in un seed round ad aprile. 

Secondo quanto riferito da Hoffman, l'attacco ha sfruttato un Merkle root erroneamente inizializzato, utilizzato nelle criptovalute per garantire che i blocchi di dati inviati attraverso una rete peer-to-peer siano interi e inalterati. Un errore di programmazione ha di fatto permesso di validare qualsiasi transazione.

Tuttavia, non tutti i partecipanti alla rapina hanno sfruttato l'opportunità. Quasi subito dopo l'inizio dell'hack, gli hacker whitehat hanno copiato lo stesso hash della transazione originale per prelevare i fondi e restituirli in modo sicuro.  Al contrario, un hacker avrebbe utilizzato il proprio Ethereum Domain Name per riciclare i fondi rubati, con la possibilità di una verifica incrociata con le informazioni Know-Your-Customer utilizzate dal dominio. 

Processo di recupero fondi Nomad Bridge

Cari hacker white hat e amici ricercatori etici, che avete salvaguardato i token ETH/ERC-20,

Vi preghiamo di inviare i fondi al seguente indirizzo Ethereum: 0x94A84433101A10aEda762968f6995c574D1bF154 pic.twitter.com/UF623JSZ8u

— Nomad (⤭⛓) (@nomadxyz_) August 3, 2022