Как взломали Nomad

Nomad только что потерял более 150 миллионов долларов в результате одного из самых хаотичных взломов, которые когда-либо видел Web3. Как именно это произошло и в чем была основная причина? Позвольте мне провести вас за кулисы.

Все началось, c того что мне запостили твит в Telegram-канале ETHSecurity. Хотя я понятия не имел, что происходит в то время, но быстро покидающие активы мост, были явно плохим признаком.

Моя первая мысль заключалась в том, что была некоторая неправильная конфигурация десятичных знаков токена. Все выглядело так, будто мост проводит акцию «Отправь 0,01 WBTC, получи 100 WBTC».

Однако после некоторых мучительных исследований в сети Moonbeam я обнаружил, что хотя в транзакции Moonbeam действительно отправились 0,01 WBTC, транзакция Ethereum каким-то образом прошла на 100 WBTC.

Кроме того, транзакция по мосту в WBTC на самом деле ничего не доказывает. Он просто называется процесс напрямую. Достаточно сказать, что возможность обработать сообщение, не доказав его сначала, крайне плохо для сети.

Здесь было возможно два варианта. Либо доказательство было отправлено отдельно в более раннем блоке, либо что-то сильно не так с контрактом реплики. Однако не было абсолютно никаких указаний на то, что что-либо было доказано в последнее время.

Оставался один вариант - в контракте реплики была фатальная ошибка. Но как? Беглый взгляд показал, что отправленное сообщение должно принадлежать приемлемому корню. В противном случае проверка в строке 185 завершится ошибкой.

К счастью, есть простой способ проверить это предположение на работоспособность. Я знал, что корень сообщения, которое не было проверено, будет 0x00, потому что messages[_messageHash] не будут инициализированы. Все, что мне нужно было сделать, это проверить, примет ли контракт это в качестве корня.

Упс. Оказывается, во время рутинного обновления команда Nomad инициализировала доверенный корень как 0x00. Чтобы было ясно, использование нулевых значений в качестве значений инициализации является обычной практикой. К сожалению, в данном случае это имело крошечный побочный эффект автоматического подтверждения каждого сообщения.

Вот почему взлом был таким хаотичным — вам не нужно было знать ни о Solidity, ни о Merkle Trees, ни о чем-то подобном. Все, что вам нужно было сделать, это найти транзакцию, которая сработала, найти/заменить адрес другого человека своим, а затем ретранслировать его.

tl; dr обычное обновление пометило нулевой хеш как действительный корень, что позволило подделать сообщения на Nomad. Злоумышленники воспользовались этим для копирования/вставки транзакций и быстро опустошили мост в бешеном свободном доступе.

Источник с картинками, но на английском.

$MART | Chat | Youtube

Как защитить свой кошелек от взлома Nomad.
Удаляем разрешения моста из вашего кошелька Метамаска.

https://youtu.be/mTTuKdXhpz0

Подтверждения токенов: https://moonbeam.moonscan.io/tokenapprovalchecker

$MART | Chat | Youtube

Solv Protocol
$500 Giveaway - Solv Dream Panel #220802

АМА через 60 минут в дискорд.

1️⃣ Заполнить форму.

2️⃣ Присоединиться к АМА. Присутствовать не менее 20 минут.

3️⃣ Заполнить ваш адрес кошелька Метамаск в ветке #Checkin. Или будет ссылка, по ней войти и вставить свой кошелек.

4️⃣ Забираем потом уже здесь

$MART | Chat | Youtube

ZAPPER GALAXY WEB3GAMES
ПРОКАЧАЕМ ПОДПИСКИ СРАЗУ В 3 ПРОЕКТАХ!
Третий этап по Galaxy! Получилось обойти ограничение!

1 этап
2 этап очень важно делать, чтобы у всех росли подписки. и этот третий этап.

Запускаем 3 этап! Кто не делал первые этапы, вернитесь туда!
Я нашел возможность как качнуть Galaxy подписчиков вместе, была проблема, что на самом Гэлакси показывает только 50 фолловеров, и нельзя было подписать автоматом. Но гэлакси фолловеры работают на протоколе cyberconnect. И их социальный граф используется еще в проекте light.so. Подписываясь друг на друга, вы сразу создаете подписчиков на множестве проектов: Light, Galaxy, Cyberconnect и другие. Так вот в Light.so можно подписаться на друг друга и получится, что в гэлакси тоже подписалось. Что нужно делать:

- Пройти первые два этапа.
- зайти сюда https://light.so/ukkosmart.eth/followers
!!!!!!!!!
Перед запуском скрипта, сначала подписать на 1-2 человек вручную, чтобы пройти подписку в метамаск
!!!!!!!!!
- запустить скрипт. он будет выполняться около 5 минут. специально сделано, чтобы он с паузой подписывался, как человек. Он учитывает подпски текущие и пропускает их.

После этого у вас будет 332 following на текущий момент. Это все наши подписчики. Задача каждому так сделать и мы взаимно подпишемся друг на друга.
Не пропускайте возможность. Нужно теперь просто каждому запустить скрипт.

do {
var blm=document.getElementsByClassName('w-full disabled:cursor-not-allowed rounded border border-contrast-lower py-3 text-base font-medium text-contrast-higher ring-offset-bg');

var scrollHeight = Math.max(
document.body.scrollHeight, document.documentElement.scrollHeight,
document.body.offsetHeight, document.documentElement.offsetHeight,
document.body.clientHeight, document.documentElement.clientHeight
)
window.scrollTo(0, scrollHeight);

blm[0].click();
await new Promise(r => setTimeout(r, 2000));
var bf=document.getElementsByClassName('flex w-full shrink items-center');
for(key in bf){
var ot = bf[key].outerText;
if(ot == 'Follow'){
bf[key].click();
await new Promise(r => setTimeout(r, 2000));
}
}

await new Promise(r => setTimeout(r, 5000));
} while (blm.length > 0);

Автор скрипта: @alexey_kynin респект!

$MART | Chat | Youtube

bloXroute Labs

Кампания на Galaxy.
Нужно выполнить несколько заданий, каждое дает возможность открыть коробку и получить нфт.

1 задание Let’s sync up
- Просто заполняем форму

2 задание Time to Test Your Knowledge!
-Выполняем тест

Ответы:
- What constitutes an MEV attack? (Select all that apply)
✅Front-running
✅Sandwich attacks

- A common front-running attack involves three players. Who are they? (Select all that apply)
✅The victim - user
✅The trading bot
✅The miner who mines the block

- DexGuard combines the arbitrage bot’s technology with MEV and frontrunning protection to create a win-win scenario. What’s the Profit sharing structure?
✅15% bloXroute, 40% searcher, 40% user, and 5% miner

- What is the miners role?
✅Put transactions into blocks and add these blocks to the chain.

- What protects users from being front-run?
✅Mining transaction privately to keep it out the mempool

3 задание Protect your TX with DexGuard
https://dexguard.io/ используйте его для 1 транзакции

Одна сторона свопа должна быть с $MATIC, использующей тот же адрес Полигона, в котором вы зарегистрированы в Project Galaxy.

5 задание Keep 100% of your Gas on Failed Mints

https://bloxroute.com/nft/
Создайте учетную запись - в поле company нааписать galaxy
Каждый понедельник, вторник, среду и четверг с 9:00 до 11:00 мы будем добавлять 25 кредитов для новых участников
Идите вперед, выберите NFT drop, который вам нравится, и будьте уверены, bloXroute защитит ваш газ.

$MART | Chat | Youtube

Debank выпустил мобильный кошелек, советую скачать поюзать и подключить свой профиль к нему, очень кстати удобно подключать через QR код с сайта

Что делать?

1. Качаем приложение
2. Следим за проектом

Возможно через него начнутся дропы и розыгрыши от Debank 🎁

$MART | Chat | Youtube

Mystery Box
YINJAverse NFT Carnival

https://galaxy.eco/YINJAClub/campaign/GCX2mUtuqJ
в течение четырех недель будут задании , выполняя все можно собрать все 6 nft

✅Задача 1 - при участии YINJA Club x .bit x WonderfulDay
https://gleam.io/earuD/yinjaverse-nft-carnival-task-1

✅Задача 2 - с участием NFTplay
https://gleam.io/competitions/Bn2LZ-yinjaverse-nft-carnival-task-2
нужно оплатить домен 5-6 доллар за домен .bit
чтоб ссылку не искать во время глима -
https://app.did.id/explorer
если для вас без разницы то мой инвайт - https://app.did.id/explorer?inviter=marlow1.bit дает скидку 5 %
поэтапно так
1. регистрация домена
2. после покупки заполнить профиль
https://app.did.id/me
key - discord
Discord - ваш дискорд
подтвердить через метамаск
3. идем дискорд https://discord.gg/v6WaWdrs3m
в ветке verify верифицируем аккаунт

✅Задача 3 глим
https://gleam.io/zjFyk/yinjaverse-nft-carnival-task-3

✅Задача 4 https://gleam.io/Ji1aJ/yinjaverse-nft-carnival-task-4

$MART | Chat | Youtube

На днях у меня на канале выйдет видео о Cyberconnect.

NFT этого проекта сейчас торгуются от 266$(серия Treasure Hunt), были слухи, что проект выйдет на Coinlist. В проект пускают ограниченный круг людей, кто имеет какое-то влияние на крипторынке и проводят небольшие розыгрыши, но там мы пробовали участвовать, и шансы нереальные. Подробно, что знаю расскажу и покажу проект изнутри в ролике, а пока хочу сказать, что нам выделили на наше сообщество пару инвайтов.

Но проекту важно, чтобы вы полученный инвайт использовали, заполнили свой профиль и написали обратную связь, как вам Link3. Этот инвайт даст вам возможность войти в проект одним из первых, и получить возможность участвовать в компании Mystic Box. Вы получите коробку, в которой неизвестно, что будет до конца года. И я думаю эти коробки будут цениться подороже Treasure Hunt.

Это стоящий проект и рекомендую участвовать. Но участвуйте те, кто готов потом поработать с профилем и написать фидбек. Мы поможем оформить. От себя прошу, кто будет участвовать, написать любой комментарий под будущим роликом и подписаться на youtube и твиттер. Всем удачи! 🎁 Спасибо вам! С нами сотрудничают такие проекты. Растем!

P.S. Будет два розыгрыша. Первый для всех. Второй разыграю среди топ 50 активных членов сообщества, у кого от 50 сообщений в нашем чате.

КНОПКА В ЧАТЕ В ЗАКРЕПЕ.

$MART | Chat | Youtube

🏖Розыгрыш Solv Protocol Summer 2022: Августовский выпуск🏝

🏟 Еженедельные квесты
5 Панелей мечты: $400-$1000 каждая
2 Общественных звонка: 100 долларов США за каждый
Общая награда: До 6000 долларов
Право на участие (Подробности будут объявлены перед каждым мероприятием)
➡️ Глим форма
➡️ Регистрация адреса кошелька (дино-форма)
➡️ 20-минутная посещаемость
Примечание: Розыгрыши проводятся во время Dream Panels, и по результатам лотереи можно получить Solv. Вероятность победы рассчитывается по системе :
· 100 SOLV (100% шанс на победу)
· 10-99 SOLV
· 1-9 SOLV
· 0 SOLV
Бонус 4 SOLV для участников, собравших 7 OAT Dream Panel (должны быть отчеканены).

🍉 Специальное предложение августа: 8.3 День арбуза
https://galaxy.eco/SolvProtocol/campaign/GCxm8Utp4E
https://gleam.io/4bJuA/watermelon-day-whale-shark-day-gleam-tasks
Награда: Бесплатный ОАТ
Окончание: 8 августа
Моментальный снимок (Адрес/роль Discord): 7 августа в 00:00 UTC
Правила:
1. Глим форма
2. для выполнения задачи навигаторе: посещение солв.финансы ➡ запустите приложение ➡ Account ➡ Connect your wallect ➡ My Activity ✅
3. Получите роль @Community в Discord: discord.gg/SolvProtocol

🐳 Специальное предложение августа: 8.30 День китовой акулы
https://galaxy.eco/SolvProtocol/campaign/GCfn6UtMJF
Награда: Ваучер мечты на 230 долларов + бесплатный OAT
Начинается: Сейчас!
Окончание: 1 сентября
Моментальный снимок (Адрес/роль Discord): 31 августа в 00:00 UTC
Правила:
1. Глим форма
2. Приобретайте SOLV (не менее 1 SOLV) в течение августа
3. Получить роль @SV Hodler в Discord: discord.gg/SolvProtocol

Примечание: 23 адреса с наибольшим объемом торговли в течение августа получат ваучер Dream стоимостью 10 долларов каждый.

$MART | Chat | Youtube

Mystery Box Melos Studio X BNB Chain 2nd Anniversary

https://galaxy.eco/melos/campaign/GCrb6UtmMV

Участники имеют возможность получить награды из призового фонда в 10 000 BUSD

- выполнить глим
https://gleam.io/competitions/ZvQpF-melos-studio-sonus-x-bnb-chian-make-your-nft-sound

Срок до 31 августа

Пожалуйста, используйте один и тот же адрес электронной почты на Melos и Galaxy

$MART | Chat | Youtube

Shield Vault -Join the Garden Planet II

✅https://galaxy.eco/shield/campaign/GCNE6UtHQx
нужно собрать 5 nft чтобы получить главный Ultimate MasterShield

https://galaxy.eco/shield/campaign/GCoq8Utdre

как получите главный старые 5 будут удалятся с помощью смарт контракта , что-то новое против мультов , не получится чеканить и отправит на разные аккаунты для получение главного еще раз

✅нужно подписаться

https://twitter.com/izumi_Finance
https://twitter.com/shield_dao
https://twitter.com/Driveofficial1
https://twitter.com/duetprotocol

✅получить роль в дискорде XCVER
для этого только подписаться
https://discord.gg/KW2YrqwVrv

еще здесь получить роль english
https://discord.gg/Rt6b3rVMu3
для этого открывает ветку language rolе и нажимаем на смайлик

✅еще одно задание
Купить iZi (Контракт 0x60d01ec2d5e98ac51c8b4cf84dfcce98d527c747)

https://izumi.finance/trade/swap и сделать voult

Внесите 350 iZi на # iZi Vault в любое время до 2022-09-03
И так делать с несколькими монетами список увидите на странице кампании

внимание учтите что nft нужно 5 разных а задание 9 - можно выбрать то что легче и сделать эти с разных аккаунтов, и собрать все разные 5 чтобы получить главный , не нужно все делать думаю

$MART | Chat | Youtube

🔥 FLOW x META (Facebook)🔥

Официальное партнерство с FLOW и Dapper Labs. Все NFT решения в Meta будут на FLOW

https://twitter.com/MetaNewsroom/status/1555197567532732417

Moonbeam

Кампания Ultimate Harvest Moon возобновлена, чтобы все квалифицированные участники могли получить свои NFT. Он будет открыт в течение одной недели, до 11 августа 2022 г., 14:00 (UTC), чтобы позволить тем, кто выполнил задачи до режима обслуживания, собрать общий NFT кампании в дополнение к NFT задач. Снимок режима обслуживания: 1 августа 2022 г., 22:45 UTC (номер блока 1563615).

Информация от админа:

Получил обновление. Сейчас возможно клеймить НФТ только тем, кто выполнил задания до режима обслуживания. Кампания завершится 11 августа 2022 года.

Snapshot режима обслуживания - 1 августа 2022 года, 10:45 PM UTC ( номер блока 1563615 ). Команда Project Galaxy будет награждать NFTs пользователей, которые не смогли выполнить полный набор задач из-за удаления задачи Nomad, или тем, на кого сбой повлиял иным образом.

—
Кто делал кампанию, и кому не зачли какие-то миссии, идем в https://news.1rj.ru/str/moonbeam_official_rus и пишем админу, он помогает быстрее, чтобы вам зачли нужные миссии. И просто ждем. Я думаю засчет такой остановки, людей будет немного и может быть неплохой награда. Если вы не делали, выполнять не нужно, их уже не зачтут.

$MART | Chat | Youtube

🇺🇸🦠 Администрация Байдена планирует объявить вирус оспы обезьян чрезвычайной ситуацией в области общественного здравоохранения уже сегодня.

Чиновники Байдена признают, что теперь они играют в догонялки, поскольку число случаев заболевания растет быстрее, чем первоначально ожидалось, сказали люди, близкие к администрации, отметив, что число инфекций за короткий промежуток времени подскочило с десятков до тысяч.

Что означает слияние Ethereum для криптопроектов и инвесторов

Новый пост от Coinlist о будущем Etherium и всех лайер-решений: Арбитрум, Оптимизм и тд. Рекомендую к чтению.

https://blog.coinlist.co/what-the-ethereum-merge-means-for-crypto-projects-and-investors/

$MART | Chat | Youtube

Новая интересная кампания на Galaxy. Floorprice Finance.

Проект пытается соединить фьючерсы, ставки и крипту 🙂 Попробуй предсказать цену популярных активов и за участие в тестировании получаем ОАТ.

Подписываемся на дискорд, твиттер, делаем ставку на проекте, и забираем ОАТ здесь Работает в тестовой сети Rinkeby, нужной иметь тестовые эфиры в ней. Получить можно здесь https://rinkebyfaucet.com/

Ссылка на проект с рефкой Шаман / Ссылка без рефки

P.S. в рефках ничего плохого нет, мы поддерживаем друг друга. Их минус, что жадность может влиять на качество контента, который будут кидать в канал. Я буду фильтровать.

$MART | Chat | Youtube

Shell Protocol

Информация для владельцев туканов! Началось новое голосование, переходим по ссылке, выбираем просто подряд все варианты. Это важная активность в сети Арбитрум и будет влиять на дроп токена Арбитрум. Не пропускаем.

https://snapshot.org/#/shellprotocol.eth/proposal/0xc4d0096702c0c0f32f3156676ace8b09fa67f8b1c413d0b1ccbc6f2843cc613f

$MART | Chat | Youtube

Арбитрум перейдет на Нитро 31 августа. Ждем возобновление Арбитрум одиссеи уже в сентябре🔥

https://youtu.be/u44Khi59cqk

00:00 Введение
00:31 Проблемы идентичности личности
04:41 О чем проект
05:35 Единый модуль для множества проектов
08:11 Экосистема Cyberconnect и инвесторы
09:10 Как можно заработать?
10:40 Link3
14:27 Бессрочная NFT с вашим именем от Link3
15:16 Кампания Mystic Box!
16:25 Конкурс от Link3
17:09 Розыгрыш инвайта от нашего канала!

Join Bitget Block Party and Share $6,000 rewards!

Чтобы получить Mystery Box нужно зарегистрироваться на бирже Bitget и торговать одной из этих монет $STI или $XCAD или $CMP на сумму 5$

Чтобы получить бокс нужна регистрация на бирже. Можно зарегистрироваться по моей реферальной ссылке и поддержать меня, или по обычной ссылке

1️⃣ Заполняем Gleam - https://gleam.io/Mktsg/bitget-block-party-task-1
2️⃣ Еще один Gleam- https://gleam.io/g4Ea2/bitget-block-party-task-2
3️⃣ Забираем здесь - https://galaxy.eco/Bitget/campaign/GCrpYUty7H

$MART | Chat | Youtube

BID TO EARN : Test Event ThepossessedNFT #888

клейм - https://galaxy.eco/Nawarat/campaign/GCT7fUtEPu

NFT загадка - пожалуйста учтите что 100% не уверен ) но на 99 уверен что правильно нашел ответ - минт кап 288, ставку сделали уже 245 человек мест мало

все делается в тестовой сети rinkeby - с тестовоми токенами eth

нужно было найти таинственный nft - скорее вот этот
https://test-app.nawarat.io/#/detail?chainId=1&finalAppraisal=11273103448275862068&id=888&nft=0x3a2096754df385553c4252e5a82dc862e64169bb и сделать ставку

инструкция как сделать ставку
https://medium.com/@0xNawarat/nawarat-test-instruction-3ebcf190d6af

$MART | Chat | Youtube