Web3 Encyclopedia · Historical Events (34): The Nomad Bridge Chaos | Hackers? No, It Was an Open-...
三句話摘要
Nomad跨鏈橋1.9億美元盜竊案：一場由開發者代碼漏洞引發的群體性搶劫狂歡，及其對加密世界信任體系的深層啟示。 技術約束是加密世界唯一的硬邊界，一旦失效，人性中的貪婪會像病毒般在鏈上瞬間複製，最終受傷最深的永遠是普通用戶；任何為了提升用戶體驗而過度抽象底層安全驗證的創新，都是在重走Nomad那條危險的鋼絲。 根本漏洞是低級工程失誤，不是密碼學突破
重點整理
重點- 1
根本漏洞是低級工程失誤，不是密碼學突破
- 2
Nomad在46天前升級時，開發者在初始化一個名為「受信任根」的驗證參數時，意外設定為零哈希。這本應用來驗證跨鏈收據真偽的機制，反而變成了人人都能偽造的萬能鑰匙，完全顛覆了跨鏈轉帳的邏輯基礎。
- 3
攻擊成本極低，投資報酬率無與倫比
- 4
參與者只需花費數十美元的Gas費就能提走數萬甚至數百萬美元資產。這不是高深的駭客技術，而是簡單的複製貼上操作，讓這場盜竊成為人類歷史上投入產出比最高的犯罪。
- 5
從個案演變成集體狂歡，暴露人性在無制約時的失控
- 6
第一次攻擊發生後，加密社群立刻看懂了漏洞。接著發生了一場「去中心化的烏合之眾式搶劫」——普通散戶、機器人、白帽黑客、專業竊賊全都涌入，幾個小時內從單一地址攻擊演變成數百個地址的混戰。
- 7
真正的贏家是隱形的專業大資金，普通人損失最慘
- 8
表面上數百人搶劫，實際上零散搶劫者只得到小部分。隱藏在混亂中的專業機器人和大資金在事發分鐘內就精準提走了USDC、ETH等最高流動性資產，然後通過多次跨鏈轉帳和混幣器消失無蹤。普通用戶因缺乏撤退工具和資訊，損失最大。
實用技巧與重點
乾貨- 具體事件
- 發生時間：2022年8月1日，世界標準時間晚上9:32分（以太坊區塊高度約1549萬）
- 損失總額：1.9億美元
- 根本原因：`rootHash` 初始化為零哈希（0 hash）
- 合約升級發生時間：事件前46天
- 攻擊方式
- 第一筆交易：某普通用戶錢包只存入微小份額（如100聰BTC），卻在取款請求中要求提走100個WBTC（當時價值200多萬美元）
- 關鍵漏洞：任何人都可以偽造合法格式的收據，因為驗證根哈希為0
- 參與方式：複製第一筆攻擊交易的input data，改收據地址和金額
- 參與者類型
- 模仿犯：直接複製攻擊交易data，隨意更改金額
- 套利機器人：自動偵測異常高額利潤並重複攻擊
- 白帽黑客：Samsung團隊、Rari Capital等，出於保護資金目的搶劫後轉入託管地址
- 專業竊賊：幾分鐘內精準提走高流動性資產（ETH、USDC），通過多次跨鏈和混幣器消失
- 後續動作辨別
- 白帽標誌：轉入託管地址，在Discord或社交媒體主動喊話求聯繫償還
- 黑帽標誌：立刻開始混幣、跨鏈轉帳、拆分成小額地址
- 官方求救
- Nomad團隊在Discord發布錢包地址，措辭克制："如果你正在試圖保護資金，請把資金轉到這個地址"
- 實質：沒有技術手段阻止，只能祈求人類良知
- 社區反應
- 某些被追蹤到的參與者開始自發退回資金
- 留言範例："我只是個普通人，我搞砸了，我以為這在鏈上是合法的"
- 這反映出博弈論困境：看到所有人搶劫時，不搶等於傻子；潮水退去時才發現自己光著身子
- 後續處理
- Nomad推出復甦計劃和Mad Bridge Token，試圖將被盜資金轉為社區債權
- 結果：社區信任已完全崩塌，信任在加密世界比黃金更易碎
結論
結論“技術約束是加密世界唯一的硬邊界，一旦失效，人性中的貪婪會像病毒般在鏈上瞬間複製，最終受傷最深的永遠是普通用戶；任何為了提升用戶體驗而過度抽象底層安全驗證的創新，都是在重走Nomad那條危險的鋼絲。”
完整解析
詳細2022年8月1日晚上，Nomad跨鏈橋經歷了加密世界最荒謬的一夜。一個普通用戶地址發起了看似無害的交易——但隨後整個網絡陷入了幾乎不可控的混亂。要理解這場盜竊為什麼會發生，得回溯到46天前Nomad進行的一次關鍵升級。
開發者部署了新的驗證合約，其中有一個至關重要的初始化步驟：設置「受信任的根」（trusted root），這個參數本應是某個真實收據的哈希值——類似銀行支票上的防偽標記。然而，開發者犯了一個低級錯誤，把這個根初始化為零哈希。這個簡單的疏忽把整個驗證機制變成了一個任何人都能通過的通道。現在，任何人都可以偽造一份看起來合法的收據去提錢。這個比喻最恰當：原本鎖著的金庫門現在被敞開了，鑰匙還被親切地插在了鎖孔裡，上面甚至貼著「歡迎使用」的紅絲帶。
當第一筆攻擊交易出現時，沒有任何警報。因為從代碼層面看，一切都符合規則——收據格式正確、密碼正確、交易簽名有效。監控系統老老實實地記錄了「合法訪問，密碼正確」。但參與加密世界的聰明人瞬間看懂了：金庫門被打開了。
接下來發生的事情，是一場完全不同於傳統駭客攻擊的群體狂歡。第一個人裝了一袋子就跑了。第二個人看到地上的金條和敞開的門，也裝了一袋子。然後是第三個、第四個。到後來，路過的人群裡有專業黑客、白帽安全研究員、套利機器人、手裡只有幾個以太幣的散戶，甚至還有被套利機器人自動跟進的普通帳戶。這不是精密的團隊作案，而是一場去中心化的、全民參與的烏合之眾式搶劫。
在最瘋狂的三小時內，攻擊方式也在進化。早期是直接複製第一筆交易的input data，只改收址和金額。套利機器人則自動監測到異常利潤，自動模擬並重複攻擊——它們沒有道德，只是在執行代碼。還有白帽黑客，他們看著混亂蔓延，意識到如果不快點把錢轉移到安全地方，所有資金都會被洗劫一空。於是他們也加入了搶劫隊伍，但目的不同——他們轉入了託管地址，並在Discord主動喊話說「錢在我這，我來幫忙，趕快聯繫我償還」。
然而，真正的贏家隱藏在混亂中。那些動作最快的專業大資金用高度自動化的機器人，在漏洞發生後的短短幾分鐘內就精準掃走了橋上最有價值的核心資產——大量的以太坊、USDC等流動性最好的東西。然後他們立刻通過多次跨鏈轉帳和混幣器消失在了區塊鏈的迷霧中。相比之下，零散搶劫者雖然看起來人多勢眾，但實際上只抢走了總損失的一小部分，而且因為缺乏專業的洗錢經驗，許多人後來要麼退回了錢，要麼被執法部門追蹤到。
這件事的深層意義遠超一個代碼漏洞。它暴露了無許可系統中人性的脆弱性。在絕對的技術漏洞面前，群體的道德約束幾乎為零。這不是一個個人的貪婪問題，而是一個集體行為學實驗——當人人都在拿錢時，不拿就像傻子。而當潮水退去，道德和法律的暗線重新顯露時，人們才發現自己光著身子站在了沙灘上。
關鍵時刻
Pipeline v2帶時間戳的重點，會在逐字稿層級分析上線後產生。目前請先透過原始影片觀看。
事實查核
Pipeline v2說法查證是下一次管線升級的一部分。KeyFrame 只會顯示它真正能驗證的內容。
