脆弱性はNomicのトランザクション処理メカニズムに存在していました。Osmosisチームは、取引所およびIBCクロスチェーンプロトコルは侵害されていないと確認しました。
Nomicは、nBTCというトークンを通じて、ビットコインを他のブロックチェーンで使用可能にします。nBTCは、ブリッジに預けられた対応する量のビットコインで裏付けられる必要があります。Osmosisでは、nBTCは他のビットコインのトークン化バージョンと共にAlloyed BTC（allBTC）を構成し、これらは共通のプールに統合され、1:1のレートで交換できます。
Nomicのエラーにより、攻撃者がnBTCを重複して使用し、適切な担保なしにOsmosisにトークンを送信することが可能になりました。その後、allBTCを通じてそれらを他の資産と交換しました。
匿名の研究者Rarmaは、主要な攻撃は6月25日に発生したと確認した。彼のデータによると、ハッカーは約40.65 nBTCを生成し、25回のクロスチェーン転送を通じてOsmosisに送金した。攻撃者は一部のトークンをステーブルコインUSDCと交換し、その後AxelarおよびNobleのブリッジを介してイーサリアムに資金を移動し、イーサリアムに変換した。この方法で、不明な人物は約18ビットコインに相当する資産を引き出した。
7月17日、ハッカーは残りの22,65 nBTCをallBTCに変換し、Osmosisのアドレスに保存しました。Rarmaの計算によると、調査時点でのallBTCの流通量は約110,57 allBTCで、実際の保証額は70,73 ビットコインでした。不足額は約39,84 ビットコインでした。
Osmosisチームは、allBTCの担保に、攻撃に関連し、対応する最初の暗号資産で十分に担保されていない39,84 nBTCが存在していたことを確認しました。操作を停止した後、Nomicの開発者はバリデーターと協力してネットワークの緊急アップデートを実施し、攻撃者のアドレス上の資産を凍結しました。DeFi取引所の代表は、凍結された資金を回収する提案をコミュニティ投票にかける意向を示しました。残る不足分については、コミュニティファンドからビットコインを充ててallBTCの担保を完全に回復すると提案しています。
以前、投資会社Dominion Capitalは、クライアントの暗号資産を約500万ドル分横領・不法に保持したとして、暗号クレジターのBlockFillsを訴え、告発しました。裁判の間、ニューヨーク南部地区裁判所はBlockFillsが保有する70.6 BTCを凍結しました。