Nomad Bridge 被盜 過億美元資產如今在哪？_NOM:MAD

原文標題：《Nomad Bridge 被盜，逾十億資產如今在哪？》

撰文：郭景怡，陳森茂

2022 年 8 月 2 日，Nomad Bridge 受到攻擊。與以往安全事件不同的是，此次參與攻擊的黑客多達上百位（其中不乏白帽黑客）。其原因是攻擊手法簡單且被部分攻擊者傳播開來，任何用戶通過復制 - 粘貼成功攻擊交易的 payload、再將其中的地址信息修改為自己的任意地址，便能成功從 Nomad Bridge 提走資金。由于 Nomad 項目方沒有緊急停止機制，橋中資金幾乎被全部套出，損失約 190 M 美元。

自 8 月 3 日官方發布回收程序至今已有 12 日，Nomad Bridge 回收資產累計 37 M 美元，多數資產仍然流落在外。這些尚未歸還的資產目前停留在哪？由哪些黑客控制？我們通過這篇文章來簡單了解一下。

Venom區塊鏈測試網上的錢包數量達到100萬個:金色財經報道，根據一份聲明，Venom 區塊鏈在推出后短短兩個月內，其測試網上的錢包數量就達到了100萬個。根據其測試網數據，自4月26日上線以來，Venom已累計處理3.55億筆交易，創建的智能合約也達到3870萬筆。

Venom網絡基金會將其快速采用歸因于創新技術、嚴格的監管合規性以及滿足多樣化用戶群的安全、用戶友好的環境，基金會尚未透露主網何時啟動。[2023/7/26 15:58:40]

2022 年 8 月 2 日，Nomad Bridge 遭到攻擊。攻擊原理和實施細節可見?

科技初創公司Otonomi籌集340萬美元，建立區塊鏈驅動參數化貨運平臺:金色財經報道，科技保險初創公司Otonomi完成了340萬美元的超額認購融資，領投方是ATX Ventures，緊隨其后的是GSR Ventures、Greenlight Re Innovations和Punja。VC, Altari Ventures, Soundboard Venture Fund, Blackhorn VC, Bering Waters, REFASHIOND Ventures以及一些專門的天使投資人。Otonomi的管理層深入6個關鍵行業，組建了一支由金融、保險、區塊鏈、用戶體驗設計、營銷和安全領域的果敢人士組成的核心團隊。（prnewswire）[2022/10/18 17:31:10]

Attack?Analysis?|?How?Unchecked?Mapping?Makes?$200M?Losses?of?Nomad?Bridge

Sushiswap社區發起有關使用Chef Nomi返還資金回購SUSHI的提案:金色財經報道，在Chef Nomi返還了價值1400萬美元的ETH后，Sushiswap社區成員Adams Cochran發起了有關“應使用返還資金中的多少回購SUSHI”的提案，為期一天。目前，“使用100%的ETH”這一選項獲得了74.3%的支持率。[2020/9/12]

2022 年 8 月 3 日，Nomad Bridge 官方發表資產回收程序：此次事件中從 Nomad Bridge

取走資產的白帽黑客 / 研究員可以將資產轉入地址 0x94A844 來實現回收。

動態 | Tezos開發團隊Nomadic Labs發布新型經典BFT共識Tenderbake:Tezos開發團隊Nomadic Labs聯合法國智能系統研究機構CEA LIST發布一種新的公鏈經典BFT共識Tenderbake，該共識能進一步增強Tezos的彈性，可提升Tezos目前使用的共識協議的最終確定性。該共識未來或將用于Tezos 區塊鏈，并向后兼容Tezos的LPoS（Liquid Proof of Stake流動性的權益證明機制）。[2020/2/3]

從 2022-08-01 9:32 PM 到 2022-08-02 12:05 AM (UTC 時間 )，共有 322 個地址通過 962 筆交易調用了漏洞合約的 process 函數累計 1177 次，Nomad Bridge 被取走 USDC、USDT、DAI、WETH、WBTC 等 14 種資產，損失累計約 190 M 美元。

聲音 | Coinomi代表：漏洞只影響錢包的電腦版本 目前還沒有人遇到該漏洞問題:據trustnodes報道，Coinomi的一位代表表示，Coinomi錢包的漏洞在三天前已經修復了，該漏洞只影響錢包的電腦版本，對手機端不影響，而自2019年1月1日發布電腦版以來，還沒有人遇到過這個問題。另外，Coinomi說2月22日聯系過該漏洞的披露者，希望得到負責任的信息，但被對方拒絕了。這不是Coinomi的官方回應。他們正準備發布官方正式回復。[2019/2/27]

與普通攻擊事件不同，此次事件中的 962 筆交易由 322 個地址發起，而這些地址大多屬于不同實體，被盜資產也分散流入到了 329 個獲利地址。截至 2022-08-15 11:00，在 329 個獲利地址中， 65 個地址返還了全部資產，50 個地址返還了 90% 資產，7 個地址返還了不到 90% 資產。此外，在 Nomad Bridge 發布回收程序之前已有 12 個地址向 Nomad: ERC20 Bridge 返還過資金，其中 11 個地址返還了全部獲利。

在尚未返還資產的 195 個地址中，有 16 個地址將獲利轉移到了 Tornado.Cash，4 個地址不受攻擊者控制（不知是出于惡作劇心態還是業務能力不大熟練，有 4 筆攻擊交易的獲利地址被分別設置為 Maker、WETH、FRAX 以及空地址）。這意味著上述 20 個獲利地址中的資產大概率無法回收，這部分資產累計約 17 M 美元。此外，有 86 個地址中的獲利已經開始轉移。最后，仍有 90 個獲利地址沒有任何動靜。

在此次事件中，看似有 322 個地址獨立地發起了攻擊，但實際的攻擊者卻并不是 322 位。攻擊交易發起地址和獲利地址累計有 606 個（排除 Maker 等四個地址），經地址聚類后得到 219 個地址簇（一個地址簇中的地址有極高的概率受同一個實體控制）。這意味著攻擊者數量不會超過 219 個。

圖中?6?個獲利地址可被認為由同一實體控制

在這 219 個地址簇中，有 2 個地址簇（疑似 2 位攻擊者）掌控了近半數 Nomad Bridge 在此次事件中損失的資產。

關鍵的是，當我們從實體的維度再次統計償還情況時發現，這兩位攻擊者尚未償還任何資產。這就導致，雖然約半數攻擊者（106）選擇向項目方償還全部或部分資金（其中 100?位攻擊者還款超過 90%），但 Nomad Bridge 回收的資金卻僅有 37 M 美元，與 190 M 美元相去甚遠。

?

截止 8 月 13 日， Nomad Bridge 已經從白帽黑客手中回收了約 37M 美元的損失。遺憾的是，仍有超過 100M 美元的損失掌握在獲利最大的兩位黑客手中。這兩位黑客用于發起攻擊交易的手續費均來源于 Tornado Cash，且獲利尚未開始轉移，這使得我們很難追蹤到他們的身份（不了解 Tornado Cash 的朋友可以閱讀我們團隊的科普文章——70 億美金流轉地，Tornado Cash 的前世今生）。

BlockSec 將持續監控被盜資金動向，及時和社區共享新的發現。

BlockSec

企業專欄

閱讀更多

金色早8點

Bress

PANews

鏈捕手

財經法學

成都鏈安

Odaily星球日報

區塊律動BlockBeats

Tags：NOMNOMADOMAMADnomad幣是不是歸零Neonomad FinanceNOMAD幣

SAND