北京时间8月2日，成都链安链必应-区块链安全态势感知平台舆情监测显示，跨链通讯协议Nomad遭遇攻击，黑客获利约1.5亿美元。截止发稿前，根据DeFiLlama数据显示，Nomad代币桥中只剩下约5900美元左右。
关于本次攻击事件的来龙去脉，成都链安安全团队第一时间进行了分析。
PART01?
-
加密市场中首次发生的去中心化抢劫？
首先，我们先来认识本次故事主角——Nomad。
Nomad自称能提供安全的互操作性解决方案，旨在降低成本并提高跨链消息传递的安全性，与基于验证者的跨链桥不同，Nomad不依赖大量外部方来验证跨链通信，而是通过利用一种optimistic机制，让用户可以安全地发送消息和桥接资产，并保证任何观看的人都可以标记欺诈并保护系统。
Beosin：稳定币协议Steadifi遭到攻击损失约114万美元:金色财经报道，据Beosin EagleEye监测发现，稳定币协议Steadifi遭到攻击,攻击者获取了协议部署钱包的控制权。攻击者已将所有金库（借贷和策略）投资组合的所有权转移至自己控制的钱包(0x9cf71F2ff126B9743319B60d2D873F0E508810dc),目前，攻击者已在Arbitrum和Avalanche上耗尽了所有可借出资金，并通过跨链桥将资产兑换成以太币转移到以太坊主网，被盗资金约1,140,000美元。
Steadifi正与攻击者进行谈判，提供10%的赏金以换回剩余90%的被盗资产。[2023/8/8 21:31:18]
而在4月13日，他们也以2.25亿美元估值完成高达2200万美元的种子轮融资，领投方为Polychain。对于一家初创项目而言，数千万美元种子轮融足可谓赢在起跑线上，但是本次攻击之后，不知道项目方会如何处理与“自救”。
Nomad官方推特表示，已得知此事，目前正在调查。
彭博社：与去年11月加密高峰相比，加密领域七位亿万富翁总共损失约1140亿美元:6月14日消息，根据彭博亿万富翁指数，自去年11 月 9 日比特币达到近 69000 美元的历史新高到现在比特币及加密市场跌至近2年内最低，七位与加密货币相关的亿万富翁总共损失了1140亿美元。（彭博社）[2022/6/14 4:24:23]
关于本次事件，在Web3领域，却引起了争议。
Terra研究员FatMan在推特上对Nomad遭遇攻击事件发表评论称：“在公共Discord服务器上弹出的一条消息称，任意一个人都能从Nomad桥上抢了3千到2万美元：所有人要做的就是复制第一个黑客的交易并更改地址，然后点击通过Etherscan发送。这是在真正的加密市场中首次发生的去中心化抢劫。”?
安全团队：ALG代币发生Rug Pull，损失约581.5 BNB:5月17日消息，据派盾监测，ALG代币发生Rug Pull，币价下跌99.95%，约581.5 BNB转入Tornado Cash。[2022/5/17 3:22:21]
事实的确如此。
根据Odaily星球日报的报道，在第一个黑客盗窃完成后，这条「成功」经验也在加密社区疯传，被更多用户模仿，趁火打劫。跨链通讯协议Nomad的资产被洗劫一空。
Monkey Kingdom遭攻击损失约130万美元SOL:12月23日消息，NFT项目Monkey Kingdom表示，黑客通过Discord的安全漏洞窃取了社区的130万美元的SOL。开发人员表示，黑客首先攻击Solana上验证用户的解决方案Grape，利用该漏洞接管了一个管理帐户，该帐户在Monkey Kingdom Discord的公告频道中发布了网络钓鱼链接。 （Cointelegraph）[2021/12/23 7:57:52]
可能是因为过于心急，一些用户忘记使用马甲伪装，直接使用了自己的常用ENS域名，暴露无遗。目前已经有用户开始自发退款，以求避免被起诉。
PART02?
-
稳定币项目USDM “Rug Pull”事件损失约合4600万美元:据欧科云链链上天眼团队分析，操作地址在Curve的Usdm池抛售Usdm，换成该池其他用稳定币添加流动性用户的稳定币，共计46,004,689 Dai，随后将全部Dai兑换为9875ETH，其中1720ETH配对该项目方发行的Mochi，并添加Uniswap流动性，LP凭证则转给该项目方持有的多签地址1 （0x6DDB204dF5980b122fa89f928fd741F35584AC0B）。其余8155ETH全部换成1,050,285 个CVX代币并转账给该项目方控制的另一个多签地址2 （0xdc71417E173955d100aF4fc9673493Fff244514C），且该地址为USDM协议手续费收款地址。初步分析此次事件为项目方合约Owner内部操作。
本次用户资金损失约合4600万美元，只影响Curve Usdm池添加流动性用户，其他Curve池不受影响，目前尚无资金出逃。链上天眼团队将密切监控上述多签地址以及持有多签地址的多个私人地址资金动向，并第一时间向社区披露。请关注链上天眼团队最新动态。[2021/11/12 21:46:15]
项目方在部署合约时犯了什么错导致被攻击？
本次攻击主要是项目方在部署合约时，把零(0x000000....)的confirmAt设置为1，导致任意一个未使用的_message都可以通过判断，并从合约中提取出对应资产。技术分析如下：
被攻击合约
0x5D94309E5a0090b165FA4181519701637B6DAEBA(存在漏洞利用的合约)
0x88A69B4E698A4B090DF6CF5Bd7B2D47325Ad30A3(遭受损失的金库合约)
由于攻击交易过多，下面依靠其中一笔攻击交易分析为例进行阐述；
攻击的交易截图
1.通过交易分析，发现攻击者是通过调用(0x5D9430)合约中的process函数提取合约中的资金。
攻击细节截图
2.跟进process函数中，可以看到合约对_messageHash进行了判断,当输入的messages为0x000000....时，返回值却是true。
攻击细节截图
3.然后跟进acceptableRoot函数，发现_root的值为零(0x000000....)时,而confirmAt等于1，导致判断恒成立，从而攻击者可以提取合约中的资金。
攻击细节截图
?攻击细节截图
4.后续通过查看交易，发现合约在部署时，就已经初始零(0x000000....)的confirmAt为1,交易可见
攻击细节截图
攻击细节截图
PART03?
-
被盗资金进入，项目方还能找回吗？
针对跨链代币桥攻击导致损失一事，Nomad团队表示，“调查正在进行中，已经联系区块链情报和取证方面的主要公司协助。我们已经通知执法部门，并将夜以继日地处理这一情况，及时提供最新信息。我们的目标是识别相关账户，并追踪和追回资金。”
目前，成都链安安全团队正在使用链必追平台对被盗资金地址进行监控和追踪分析。
PART04?
-
总结：合约部署需要注意哪些问题？
针对本次事件，成都链安安全团队建议：项目方在合约部署前，需要考虑配置是否合理。部署后，应测试相关功能，是否存在被利用的风险，并且联系审计公司查看初始的参数是否合理。
最近遇到最多的问题就是：数字藏品开设二级市场,如果遇到政策原因被关停,导致暴雷,企业负责人和高管有哪些法律责任？P2P网贷平台的发展和消弭确属前车之鉴,数藏平台的未来监管和司法处置将走向何方.
1900/1/1 0:00:00对于几乎任何复杂的项目来说,一定程度的激活能量对项目的启动是必要的。推动改变的个人领袖、快速的迭代周期、信息详尽的路线图——想要以某种势头前进的项目自然会发现在早期几乎不可能以任何重要的方式去中.
1900/1/1 0:00:00四年周期的时代会延续吗？原文标题：《AllianceDAO创始人漫谈熊市：对风投、Builder及散户的建议》撰文：AllianceDAO创始人编译：TechFlowIntern最近.
1900/1/1 0:00:00从“十四五”规划中我们看到多地加码数字经济,区块链技术已经被上升为下一代信息技术发展战略。那么,什么是区块链？当前正处于金融体系创新变革的关键时期,区块链将如何改变未来数字金融的格局？区块链在数.
1900/1/1 0:00:00主要内容以太坊代币标准「ERC-4907」在6月下旬成为“Final”状态,打开了可租赁NFTs的潜力。一旦在智能合约中实施,可租赁NFTs可以推动基于区块链的游戏、元宇宙土地销售等的发展.
1900/1/1 0:00:00本次采访与定慧探讨了元宇宙的定义与发展、DAO组织的形式、Web3中00后的角色等诸多话题。原文标题：《访谈EP6|校园之外的少年游民》受访者：定慧,《国人DAO大败局》作者撰文：?GenZMe.
1900/1/1 0:00:00
月亮链