La vulnérabilité se trouvait dans le mécanisme de traitement des transactions de Nomic. L'échange et le protocole d'interconnexion IBC n'ont pas été piratés, a assuré l'équipe d'Osmosis.
Nomic permet d'utiliser le bitcoin sur d'autres blockchains via nBTC — un token qui doit être garanti par une quantité correspondante de bitcoins déposés sur le pont. Sur Osmosis, nBTC fait partie d'Alloyed BTC (allBTC) avec d'autres versions tokenisées de la première cryptomonnaie. Ils sont regroupés dans un pool commun et peuvent être échangés au taux de 1:1.
L'erreur de Nomic a permis à un attaquant de dépenser à nouveau du nBTC et d'envoyer des jetons sur Osmosis sans couverture adéquate. Via allBTC, il les a ensuite échangés contre d'autres actifs.
L'analyste anonyme connu sous le nom de Rarma a établi que l'attaque principale a eu lieu le 25 juin. Selon ses données, le pirate a créé environ 40,65 nBTC et les a transférés vers Osmosis via 25 transferts interchaînes. Une partie des jetons a été échangée contre les stablescoins USDC, puis les fonds ont été transférés via les ponts Axelar et Noble vers Ethereum et convertis en ether. Au total, l'inconnu a ainsi extrait des actifs équivalant à environ 18 bitcoins.
Les 22,65 nBTC restants ont été convertis en allBTC par le pirate le 17 juillet et conservés sur une adresse sur Osmosis. Selon les calculs de Rarma, au moment de l'enquête, environ 110,57 allBTC étaient en circulation contre une couverture réelle de 70,73 bitcoins. Le déficit s'élevait à environ 39,84 bitcoins.
L'équipe Osmosis a confirmé que 39,84 nBTC liés à l'attaque étaient en garantie pour allBTC, sans être couverts par la quantité correspondante de la première cryptomonnaie. Après l'arrêt des opérations, les développeurs de Nomic, en collaboration avec les validateurs, ont effectué une mise à jour d'urgence du réseau et gelé les actifs sur l'adresse de l'attaquant. Les représentants de l'échange DeFi ont indiqué qu'ils prévoient de soumettre à vote une proposition visant à saisir les fonds gelés. Le déficit restant serait couvert par des bitcoins provenant du fonds communautaire afin de rétablir complètement la couverture d'allBTC.
Auparavant, la société d'investissement Dominion Capital a déposé une plainte contre le prêteur cryptographique BlockFills, accusant celui-ci de détournement et de retenue illégale d'actifs cryptographiques clients d'environ 5 millions de dollars. Pendant la procédure, le tribunal du district sud de New York a gelé 70,6 BTC appartenant à BlockFills.