|
八月初，跨鏈通訊協(xié)議 Nomad 被曝遭遇黑客攻擊，導致其代幣橋內的 1.9 億美元資金幾乎全被“掏空”：據 Defil Lama 統(tǒng)計數據顯示，原本 Nomad 的總價值鎖定（TVL）為 1.9 億美元，但幾個小時后其官方賬戶中只剩下了 651.54 美元。
盡管周二一早，Nomad 官方就發(fā)推特表示已得知此事，并稱目前正在調查，但這起事件還是在 Web3 領域引起了巨大爭議：
Terra 研究員 FatMan 認為本次 Nomad 遭遇的攻擊是“真正的加密市場中首次發(fā)生的去中心化搶劫”。
Paradigm 研究合伙人兼安全主管 Samczsun 也發(fā)推表示：“剛剛發(fā)生的 Nomad 事件是我在 Web3 中見過的最混亂的黑客攻擊之一。”
更令人意外的是，最終導致了這 1.9 億美元損失的源頭，竟然只是一個“低級漏洞”。
大量資產從 Nomad 代幣橋轉移出去
具體來說，Nomad 是以太坊、Avalanche、Milkomeda 和 Moonbeam 之間跨鏈轉移的代幣橋梁，特點在于不依賴大量外部方來驗證跨鏈通信，可通過一種名為“optimistic”機制，讓用戶可以安全地發(fā)送消息和橋接資產。
最初注意到不對勁的是一名推特用戶 @spreekaway：“Nomad 代幣橋變得很‘崎嶇’？？？看起來非?？梢?。”從他提供的截圖來看，彼時正有大量資產從 Nomad 代幣橋轉移出去，這顯然不太尋常。
對此，Paradigm 研究合伙人兼安全主管 Samczsun 的第一反應：可能是 Token 小數點的配置有誤。從他的視角來看，當時跨鏈橋似乎正在進行一個 “發(fā)送 0.01 WBTC，返還 100 WBTC”的促銷活動。
最初 Samczsun 是不信的，但在 Moonbeam 上進行了一些手動挖掘后，他確認了這一事實：“雖然我從 Moonbeam 只轉出了 0.01 WBTC，但不知道為什么以太坊上卻收到了 100 WBTC。”也就是說，這不并是 Token 小數點的錯誤配置。
但與此同時，Samczsun 發(fā)現(xiàn)了更糟糕的一點：在 WBTC 中橋接的交易實際上并沒有“證明（prove）”這個步驟，而是直接進行“process”操作。這明顯不符合邏輯。
Replica 合約中存在致命錯誤
基于此，Samczsun 總結出有兩種可能性：要么是在先前的區(qū)塊中單獨提交了證明，要么就是 Replica 合約中存在嚴重錯誤。然而，沒有任何跡象表明最近有什么信息被提前證明了，這也就只剩下了一種可能性，即 Replica 合約中存在致命錯誤。
在快速瀏覽代碼后，Samczsun 推測出了問題所在。在進行 process 操作時，用戶提交的消息必須來自可接受的根（會在 prove 中被設置），其中第 185 行的“acceptableRoot”就是用來檢查根是否被證明或已被確認。
一般在進行 Replica 合約部署初始化時，會先把可信根設置為 0，再將其改為非 0 數據的新根，同時將舊根設為失效——而 Samczsun 懷疑，可能舊根的“0”還處于生效狀態(tài)。
這個想法很好驗證，Samczsun 用 0x00 來檢查合同是否會接受這個根，結果居然真的通過了……
“事實證明，在升級期間，Nomad 團隊將可信根初始化為 0x00。說白了，使用 0 值作為初始化值是一種常見的做法。不幸的是，在這種情況下，它也有一個很小的副作用，即會自動驗證每一條消息。”
這也就意味著，攻擊者可以直接構造任意消息，而這些消息都可以正常執(zhí)行。這一漏洞的性質決定了本次黑客事件的規(guī)模，正如 Samczsun 所說：“這就是此次事件如此混亂的原因——你甚至不需要知道 Solidity 或默克爾樹（Merkle Trees）這類技術知識，只需找到一個有效交易，用你的地址替換原本的地址，然后再推廣出去。”
網絡安全人才的重要性
從這次的事件中也側面印證了網絡安全的重要性，近幾年來，市場也逐漸加大了對網絡完全領域人才的培養(yǎng)。
根據數據統(tǒng)計，2022年第一季度，網絡安全領域的招聘比例進一步提升，其中技術人才招聘占比增至67.6%，平均招聘月薪為20235元。
這個數據的原因也有跡可循，對前沿技術的重視能夠提高網絡安全領域的技術深度，是取得人才和行業(yè)發(fā)展的重要手段之一，而網絡安全作為一個復合性領域，其對技術要求也就不言而喻。
專家提出，網絡安全技術人才供需嚴重失衡，不僅體現(xiàn)在數量，更體現(xiàn)在不同類型人才供給和需求之間的錯位。目前行業(yè)平均供求比約為1：2，存在資深人才儲備不足、新人培養(yǎng)和育留難度大等挑戰(zhàn)。
根據數據統(tǒng)計，以下崗位是2022年一季度網絡安全崗位需求TOP 10，其中，測試排在了第十位。由此可見，安全測試人才的需求量在社會仍不容小覷。
寫在最后
所以如今安全測試對于測試員來說，是一個風口，安全測試未來的發(fā)展方向有信息安全專家、信息安全分析師、信息安全總監(jiān)、安全咨詢師、IT安全架構師等等，崗位職業(yè)晉升方向還是比較多的。
 |
