Kerentanan terletak pada mekanisme pemrosesan transaksi Nomic. Bursa itu sendiri dan protokol antar-jaringan IBC tidak diretas, jamin tim Osmosis.
Nomic memungkinkan penggunaan bitcoin di blockchain lain melalui nBTC—token yang harus dijamin oleh jumlah bitcoin yang sesuai yang disetorkan ke jembatan. Di Osmosis, nBTC menjadi bagian dari Alloyed BTC (allBTC) bersama dengan versi ter-tokenisasi lain dari cryptocurrency pertama. Mereka digabungkan ke dalam satu pool umum dan dapat ditukar dengan rasio 1:1.
Kesalahan Nomic memungkinkan penyerang menghabiskan nBTC berulang kali dan mengirim token ke Osmosis tanpa jaminan yang sesuai. Melalui allBTC, ia kemudian menukarnya dengan aset lain.
Peneliti anonim dengan nama pengguna Rarma menemukan, bahwa serangan utama terjadi pada 25 Juni. Menurut datanya, peretas menciptakan sekitar 40,65 nBTC dan mengirimkannya ke Osmosis melalui 25 transaksi lintas jaringan. Sebagian token dicairkan menjadi stablecoin USDC, lalu dana tersebut dipindahkan melalui jembatan Axelar dan Noble ke Ethereum dan dikonversi menjadi ether. Secara total, orang tak dikenal ini menarik aset senilai sekitar 18 bitcoin dengan cara ini.
Sisa 22,65 nBTC pada 17 Juli, peretas mengonversinya menjadi allBTC dan menyimpannya di alamat di Osmosis. Menurut perhitungan Rarma, pada saat penyelidikan, jumlah allBTC yang beredar sekitar 110,57 allBTC dengan cadangan nyata sebesar 70,73 bitcoin. Kekurangannya sekitar 39,84 bitcoin.
Tim Osmosis mengonfirmasi bahwa 39,84 nBTC yang terkait dengan serangan dan tidak dijamin oleh jumlah bitcoin pertama yang sesuai berada dalam jaminan allBTC. Setelah menghentikan operasi, pengembang Nomic bersama para validator melakukan pembaruan darurat jaringan dan membekukan aset di alamat penyerang. Perwakilan bursa DeFi melaporkan bahwa mereka berniat mengajukan usulan untuk pemungutan suara mengenai penarikan dana yang dibekukan. Kekurangan yang tersisa mereka usulkan untuk ditutupi dengan bitcoin dari dana komunitas agar jaminan allBTC dapat sepenuhnya dipulihkan.
Sebelumnya, perusahaan investasi Dominion Capital mengajukan gugatan terhadap pemberi pinjaman kripto BlockFills, menuduh telah menggelapkan dan menahan secara ilegal aset kripto klien senilai sekitar $5 juta. Selama proses hukum, pengadilan distrik selatan New York membekukan 70,6 BTC yang dimiliki oleh BlockFills.