Ang vulnerability ay nasa mekanismo ng pagproseso ng transaksyon ng Nomic. Hindi na-hack ang sariling exchange at ang IBC cross-chain protocol, siniguro ng koponan ng Osmosis.
Nomic ay nagpapahintulot sa paggamit ng bitcoin sa iba pang mga blockchain sa pamamagitan ng nBTC—isang token na dapat na suportahan ng katumbas na dami ng bitcoin na ipinapadala sa bridge. Sa Osmosis, ang nBTC ay bahagi ng Alloyed BTC (allBTC) kasama ang iba pang tokenized na bersyon ng unang cryptocurrency. Pinagsasama nila ito sa isang pangkalahatang pool at maaaring palitan sa ratio na 1:1.
Ang error sa Nomic ay nagbigay-daan sa isang hacker na mag-reuse ng nBTC at magpadala ng mga token sa Osmosis nang walang sapat na collateral. Sa pamamagitan ng allBTC, sinadya niya ang pagpalit nito sa iba pang mga asset.
Ang anonymous na researcher na may username na Rarma ay natukoy, na ang pangunahing pag-atake ay naganap noong Hunyo 25. Ayon sa kanyang mga datos, nilikha ng hacker ang halos 40,65 nBTC at isinampa ito sa Osmosis sa pamamagitan ng 25 cross-chain transfers. Ang ilang mga token ay binili ng attacker sa stablecoin na USDC, pagkatapos ay isinampa ang pera sa pamamagitan ng mga bridge na Axelar at Noble sa Ethereum at kinonberta sa ether. Sa kabuuan, inalis ng hindi kilalang tao ang mga asset na katumbas ng halos 18 bitcoin.
Ang natitirang 22,65 nBTC noong Hulyo 17 ay na-convert ng hacker sa allBTC at itinago sa isang address sa Osmosis. Ayon sa kalkulasyon ni Rarma, sa panahon ng imbestigasyon, mayroong halos 110,57 allBTC sa circulation na may tunay na collateral na 70,73 bitcoin. Ang kakulangan ay umabot sa halos 39,84 bitcoin.
Ang koponan ng Osmosis ay patotohanan na ang 39,84 nBTC na may kinalaman sa pag-atake at hindi sapat na sinisiguro ng tamang dami ng unang cryptocurrency ay nasa pagsisiguro ng allBTC. Pagkatapos matigil ang mga transaksyon, ang mga developer ng Nomic kasama ang mga validator ay nagpapatupad ng emergency network update at pinigil ang mga asset sa address ng attacker. Ang mga tagapagrepresenta ng DeFi exchange ay naglabas na handa silang ilagay sa pagboto ang proposta para sa pagkuha ng mga nakapigil na pondo. Ang natitirang kakulangan ay inirerekomenda nilang mabayaran gamit ang bitcoin mula sa community fund upang buong pagbawi ang pagsisiguro ng allBTC.
Kahit na ang investment company na Dominion Capital ay nag-file ng kaso laban sa criptokreditor na BlockFills, inaasahan ang pagkakasala at ilegal na pagpapanatili ng mga kliyenteng crypto asset na halos $5 milyon. Sa panahon ng proseso, ang hukuman ng Southern District ng New York ay nag-freeze ng 70.6 BTC na ari-arian ng BlockFills.