跨鏈橋Nomad被黑，有用戶“實名”趁火打劫_NOMAD:MAMADOGE

北京時間8月2日早上，加密KOLfoobar發推稱，跨鏈解決方案Nomad于今日凌晨遭到黑客攻擊，智能合約中的WETH和WBTC正被轉出，每次約價值百萬美元。

截至發稿前，Nomad代幣橋總鎖倉量只剩下3941美元，而昨天其TVL約為1.9億美元，初步分析Nomad損失在1.9億美元左右，建議用戶暫時不要與Nomad及其相關項目交互。

攻擊發生后，Moonbeam正在進行的UltimateHarvestMoon活動受攻擊影響暫停。跨鏈路由協議Multichain發推表示，在Moonbeam和Moonriver的TVL超過1.6億美元資產安全不受影響，已暫停Moonbeam和Moonriver跨鏈橋，待鏈主網恢復交易后可安全跨鏈。

The Block：跨鏈橋Wormhole計劃發行代幣HOLE，將在私募中籌集近2億美元:金色財經消息，據The Block獲得的文件顯示，跨鏈橋Wormhole計劃以每枚代幣0.25美元的價格向機構投資者出售7.5億枚HOLE代幣（占總供應量的7.5%），代幣將鎖定一年，并分三年線性釋放。此次代幣銷售將產生1.875億美元的收益，該項目的估值為25億美元。

知情人士證實，Wormhole正試圖以該估值進行代幣銷售，Wormhole拒絕置評。[2022/4/1 14:32:13]

Evmos發推稱Evmos鏈運行正常；此外，Nomad已暫停，因此用戶無法將其ERC20封裝資產從Evmos撤回到以太坊，團隊會及時通知這對Evmos用戶和擁有Nomad封裝資產的用戶有何影響。

Bluehelix VP：BHEX Chain 跨鏈橋定位DeFi生態工具 可促進各公鏈間跨鏈資產流通:8月13日消息，Bluehelix全球商務VP Elsa Qiu在社群AMA解答用戶相關問題中提到，BHEX Chain BBS跨鏈橋不是簡單的雙鏈跨鏈橋，而是可以兼容多條異構鏈和同構鏈的多鏈跨鏈橋，目前可支持市面上所有公鏈的跨鏈橋。

BHEX Chain目前已經支持BTC、ETH、HECO、BSC、DOGE、TRON等多條公鏈，且即將接入Polygon、xDai、Fantom、Cosmos、FIL、NEAR、Solana等公鏈。任意的項目方、公鏈、錢包都可基于BHEX Chain的多鏈映射功能進行資產跨鏈，實現不同生態間的去中心化流通。BBS跨鏈橋基于已在歐美獲得專利的Bluehelix私鑰分片技術搭建，用戶生成的充值地址都是獨立的，且充值地址的私鑰完全以分片的形式存在不同的節點上，用戶的任意一筆資產跨鏈流程完全透明、清晰可見。[2021/8/13 1:53:55]

Nomad官方回應稱，“我們已經知道涉及Nomad代幣橋的事件。我們目前正在調查，并會在我們有更新時提供更新。我們了解到冒充者正冒充Nomad并提供欺詐地址來收集資金，我們尚未提供退還過橋資金的說明，請忽略來自Nomad官方頻道以外的所有頻道的消息。”

ZCash社區發起“建立Thorchain+Zcash跨鏈橋”的提案:3月12日消息，ZCash社區發起關于“整合至去中心化跨鏈交易協議THORChain、并構建兩者之間的跨鏈橋”的提案，提案指出，到前為止，大多數DeFi協議在以太坊上交易合成資產或Wrapped資產形式，Thorchain將提供在DeFi中直接進行交易的能力，同時直接與隱私資金池進行交互，保護用戶隱私信息。[2021/3/12 18:39:49]

本次被盜的根本原因，在于Nomad官方升級智能合約時發生錯誤。Paradigm安全研究員samczsun表示其副本合約存在致命缺陷，一次常規升級將零哈希標記為有效根，其效果是允許在Nomad上欺騙信息；攻擊者利用這一點來復制/粘貼交易，并迅速耗盡橋上的資產。

“在例行升級期間，Nomad團隊將可信根初始化為0x00。需要明確的是，使用零值作為初始化值是一種常見的做法。不幸的是，在這種情況下，它具有自動驗證每條消息的微小副作用。這就是黑客如此混亂的原因——你不需要了解Solidity或MerkleTrees或類似的東西。你所要做的就是找到一個有效的交易，用你的地址找到/替換對方的地址，然后重新廣播它。”

合約設計漏洞只是問題之一，Nomad官方在這次事件中反應也相當「遲鈍」，缺乏風控。在foobar發布推文時，跨鏈橋中依然有1.3億美元資產，直到官方發布推文時依然有7500萬美元資產，但Nomad官方卻似乎沒有做任何緊急動作，眼睜睜看著資產流失歸零。

CelerNetwork聯合創始人Modong在社群解釋稱，官方之所以「無動于衷」，主要是因為合約升級加上了時間鎖，導致其沒辦法第一時間作出反應。“合約升級還有時間鎖，也沒有風控，所以只能干看著自己擼自己。”

實際上，在第一個黑客盜竊完成后，這條「成功」經驗也在加密社區瘋傳，被更多用戶模仿，趁火打劫。可能是因為過于心急，一些用戶忘記使用馬甲偽裝，直接使用了自己的常用ENS域名，暴露無遺。目前已經有用戶開始自發退款，以求避免被起訴。關于后續進展，Odaily星球日報也將持續關注。

官網數據顯示，Nomad此前提供包括以太坊、Moonbeam、MilkomedaC1、Evmos、Avalanche在內的五種區塊鏈網絡之間的跨鏈轉賬。與基于驗證者的跨鏈橋不同，Nomad不依賴大量外部方來驗證跨鏈通信，而是通過利用一種optimistic機制，讓用戶可以安全地發送消息和橋接資產，并保證任何觀看的人都可以標記欺詐并保護系統。今年4月，Nomad完成2200萬美元種子輪融資，由Polychain領投，1kx、Ethereal、HackVC等參投，估值為2.25億美元。

Tags：MADOMANOMNOMADMAMADOGERYOMAAutonomyNOMAD幣

火星幣