La società americana delle criptovalute Nomad ha subito un furto che potrebbe ammontare a 190 milioni di dollari. La piattaforma fornisce un protocollo di messaggistica cross-chain con cui gli utenti possono inviare e ricevere token tra diverse blockchain tramite il bridge. L’attacco hacker avrebbe colpito esattamente questo “ponte”, lo strumento che permette il trasferimento dei token.
Nomad ha indicato in un tweet di essere “a conoscenza dell’incidente” e che sta al momento investigando e collaborando con le forze dell’ordine per capire quali account siano coinvolti e come recuperare il denaro, ma non ha fornito cifre ufficiali sull’ammontare del furto.
Forse hackerato lo smart contract: sottratti i token
PeckShield, società di analytics del mondo crypto, ha detto all’agenzia Reuters che sono state sottratte valute digitali per un valore corrispondente a 190 milioni tra ether e stablecoin Usdc. Si tratterebbe del valore totale bloccato (Tvl) che Nomad deteneva prima dell’incidente di sicurezza. I fondi sarebbero stati prosciugati nel giro di poche ore.
Altri ricercatori del settore blockchain stimano un furto di almeno 150 milioni di dollari.
I bridge solitamente sono costruiti in modo da “sigillare” i token in uno smart contract su una blockchain e poi ri-emetterli in forma “wrapped” (ancorati al valore di un altro asset) su un’altra blockchain. Se lo smart contract su cui i token sono stati inizialmente depositati viene hackerato, i token “wrapped” non hanno alcun asset cui ancorarsi e perdono il loro valore, spiega Coin Desk.
Un ricercatore della società di cripto-investimenti Paradigm ha scritto in un tweet che il recente aggiornamento in uno degli smart contract di Nomad potrebbe aver reso più facile manipolare le transazione. In pratica alcuni utenti sarebbero riusciti a prelevare dal Nomad bridge denaro che non era di loro proprietà.
Nomad si descrive come una società basata sulla cybersicurezza capace di garantire agli utenti che i loro soldi sono ben custoditi. È così riuscita ad attrarre ingenti capitali: ad aprile, nel secondo seed round di finanziamento, ha ricevuto investimenti per 22 milioni di dollari da big del settore come Coinbase Ventures e OpenSea ed è stata valuta 225 milioni.
Crescono gli attacchi ai bridge della blockchain
Al contrario di altri attacchi ai bridge, di solito perpetrati da un solo responsabile, l’exploit di sicurezza contro Nomad si è svolto come azione collettiva di “copia-e-incolla”, spiegano gli esperti: una volta scoperta una transazione fraudolenta che funzionava, è bastato sostituire l’indirizzo del legittimo proprietario dei token con il proprio e ripetere la sottrazione dei fondi.
Si tratta di un meccanismo che ha già suscitato allarme per la sua semplicità di accesso; non a caso i bridge della blockchain sono in misura crescente il bersaglio degli attacchi di sicurezza. Finora nel 2022 sono stati sottratti oltre 1 miliardo di dollari di token dai bridge, secondo la società londinese di blockchain analytics, Elliptic.
Ad aprile gli hacker hanno sottratto circa 615 milioni di criptovalute da Ronin Bridge, piattaforma usata per trasferire criptovalute dentro e fuori dal gioco Axie Infinity. Si tratta del più grande attacco della finanza decentralizzata finora mai condotto.
Tra i “colpi” maggiori ci sono anche quello contro Wormhole bridge, da cui sono stati sottratti più di 300 milioni di dollari, e quello contro Harmony, che ha svelato di aver subito un furto di token del valore di circa 100 milioni di dollari dal suo prodotto Horizon bridge.
