La vulnerabilidad se encontraba en el mecanismo de procesamiento de transacciones de Nomic. El intercambio y el protocolo de interoperabilidad IBC no fueron comprometidos, aseguró el equipo de Osmosis.
Nomic permite utilizar bitcoin en otras blockchains a través de nBTC, un token que debe estar respaldado por la cantidad correspondiente de bitcoin depositados en el puente. En Osmosis, nBTC forma parte de Alloyed BTC (allBTC) junto con otras versiones tokenizadas de la primera criptomoneda. Se combinan en un solo fondo y pueden intercambiarse en una proporción de 1:1.
El error de Nomic permitió al atacante gastar nBTC repetidamente y enviar tokens a Osmosis sin el respaldo correspondiente. A través de allBTC, luego los intercambió por otros activos.
El investigador anónimo con el nombre de usuario Rarma estableció que el ataque principal ocurrió el 25 de junio. Según sus datos, el hacker creó aproximadamente 40,65 nBTC y los envió a Osmosis a través de 25 transferencias interchain. Parte de los tokens fue intercambiada por stablecoins USDC, luego los fondos fueron transferidos a través de los puentes Axelar y Noble hacia Ethereum y convertidos en ether. En total, el desconocido extrajo activos equivalentes a aproximadamente 18 bitcoins.
Los 22,65 nBTC restantes el 17 de julio fueron convertidos por el hacker en allBTC y almacenados en una dirección en Osmosis. Según los cálculos de Rarma, en el momento de la investigación, había aproximadamente 110,57 allBTC en circulación con un respaldo real de 70,73 bitcoins. La brecha era de aproximadamente 39,84 bitcoins.
El equipo de Osmosis confirmó que en la garantía de allBTC había 39,84 nBTC asociados con el ataque y no respaldados por la cantidad correspondiente de criptomoneda original. Tras detener las operaciones, los desarrolladores de Nomic, junto con los validadores, realizaron una actualización de emergencia de la red y congelaron los activos en la dirección del atacante. Los representantes del intercambio DeFi indicaron que planean someter a votación una propuesta para retirar los fondos bloqueados. El déficit restante proponen cubrirlo con bitcoins del fondo comunitario para restaurar completamente la garantía de allBTC.
Anteriormente, la empresa de inversión Dominion Capital presentó una demanda contra el prestamista cripto BlockFills, acusándolo de apropiación y retención ilegal de activos criptográficos de clientes por aproximadamente $5 millones. Durante el litigio, el tribunal del Distrito Sur de Nueva York congeló 70,6 BTC pertenecientes a BlockFills.