北京时间 8 月 2 日凌晨，Nomad Bridge 遭受攻击，导致了价值约 1.9 亿美元的损失。其副本合约存在致命缺陷，一次常规升级将零哈希标记为有效根，其效果是允许在 Nomad 上欺骗信息。攻击者利用这一点来复制粘贴交易，在短短一夜之间，Nomad 跨链桥上资产被迅速耗尽。
而安全机构派盾（PeckShield）发现，本次攻击的黑客部分已有前科。其中一尾号“ ab49 ”的地址曾是 Rari Capital 被盗事件的黑客，在此次 Nomad 攻击中获利约 300 万美元。在此次被盗事件中，有大量普通用户的地址参与，其参与者远多于此前同类事件，且其中存在大量可与 KYC 地址产生关联的地址。
正如 Terra 研究员 FatMan 所言，“任意一个人都能从 Nomad 桥上抢走 3 千到 2 万美元：所有人要做的就是复制第一个黑客的交易并更改地址，然后点击通过 Etherscan 发送。这是以真正的加密方式首次发生的去中心化抢劫。”
大量白帽黑客和普通用户的参与，让本次“攻击”事件的局势变得更为颇为复杂。项目方可以判断出部分 Web3 的用户的 Web2 身份。针对被攻击一事，Nomad 团队表示，“调查正在进行中，已经联系区块链情报和取证方面的主要公司协助。我们已经通知执法部门，并将夜以继日地处理这一情况，及时提供最新信息。我们的目标是识别相关账户，并追踪和追回资金。”
但即便是用户主动返还，风险依然是多元的。
被盗当日，坊间曾一度传出多个地址要求攻击者返还被盗资金，但事后这些地址均被 Nomad 官方证伪。8 月 2 日早间，Nomad 官方表示，“已知晓有冒充并提供欺诈性地址来诈骗资金的行为。我们尚未提供返还被盗跨链资金的说明。请忽略除 Nomad 官方渠道以外的所有渠道的通信。”
所幸的是，不久后官方即公布了正确的返还地址。
8月3日，Nomad 在推特上公布 Nomad Bridge 资金返还流程，呼吁白帽黑客、道德安全研究员将资金（ETH / ERC-20 代币）发送到官方以太坊钱包地址。据悉，Nomad 正在与区块链分析公司 TRM Labs 以及执法部门合作，以跟踪资金流动并识别收款方钱包，从而协调被盗资金返还工作。
据欧科云链 OKLink 多链浏览器显示，截止至本文发布时，已有约价值 1650 万美元的资产已被返还，尽管这一数据远低于被盗资产，但仍是一个良好的开端。
有人返还，也有人对这笔“不义之财”欣然接受。
派盾监测显示，Nomad 被攻击事件中，约 41 个地址获利约 1.52 亿美元（占 80% ），包括约 7 个 MEV 机器人（约 710 万美元）、RariCapital 黑客（约 340 万美元）和 6 个白帽黑客（约 820 万美元），约 10% 的 ENS 域名地址获利 610 万美元。在利用漏洞获利后，直接进行交易的地址数达 739 个，占比近 60% 。
而其中除少部分资金被返还外，更多资产均被 Tornado 转移。派盾监测显示，截至今日，已有约 1100 万美元 Nomad 被盗资金转入 Tornado Cash。这些攻击者包括地址 0xC994...0cf599 、 Rari Capital 被盗事件黑客相关地址 0x72ccbb 和 0x76f455。
大量跨链桥协议凭借着产品的便捷性获得了大量 TVL ，但与此同时，高额的锁仓也成为了黑客们垂涎的目标。去年夏季， Poly Network（O3 Swap）发生了加密世界历史上最大黑客攻击事件，约 6.1 亿美元资产被盗走。
今年年初， Vitalik Buterin 也曾发文警告，跨链存在很大安全问题。跨链这一方案并不理想，因为它们增加了资产转移过程中的安全风险。这种对安全性的权衡是因为资产的攻击向量在更广泛的网络表面积上增加，因为它在越来越多的链和具有不同安全原则的 dApp 中移动。
而本次 Nomad 事件则更为荒诞，黑客并未通过多么“高明”的手段发起攻击，仅仅只是利用了官方所遗漏的一个漏洞，且这一“攻击”人人皆可复制。
对于广大普通用户来说，跨链桥的安全性始终是“薛定谔的”：当一个跨链桥没有被盗时，我们不知道它是否安全，只有当跨链桥被盗之后，我们才知道它不安全。
在当前各种新兴公链百家争鸣，一个安全且高效的跨链桥设计仍是加密世界亟待解决的技术挑战。或许随着行业的发展，我们可以看到更好的解决方案提出。
