Kelemahan berada dalam mekanisme pemrosesan transaksi Nomic. Bursa itu sendiri dan protokol antara-jaringan IBC tidak diserang, jamin pasukan Osmosis.
Nomic membolehkan penggunaan bitcoin di blockchain lain melalui nBTC — token yang harus disokong oleh jumlah bitcoin yang sesuai yang dimasukkan ke dalam jambatan. Di Osmosis, nBTC menjadi sebahagian daripada Alloyed BTC (allBTC) bersama dengan versi tokenisasi lain bagi cryptocurrency pertama. Mereka digabungkan ke dalam satu pasu umum dan boleh ditukar pada nisbah 1:1.
Kesalahan Nomic membolehkan penyerang menghabiskan nBTC semula dan menghantar token ke Osmosis tanpa jaminan yang sesuai. Melalui allBTC, beliau kemudian menukarnya kepada aset lain.
Seorang penyelidik anonim dengan nama pengguna Rarma menemukan, bahawa serangan utama berlaku pada 25 Jun. Menurut data beliau, perompak mencipta sebanyak 40,65 nBTC dan menghantarnya ke Osmosis melalui 25 transaksi antara rangkaian. Sebahagian token telah ditukar oleh penyerang kepada stablescoin USDC, kemudian dana tersebut dipindahkan melalui jambatan Axelar dan Noble ke Ethereum dan ditukar menjadi ether. Secara keseluruhan, individu yang tidak dikenali telah menarik aset yang bersamaan dengan kira-kira 18 bitcoin dengan cara ini.
22,65 nBTC yang tinggal pada 17 Julai diubah oleh perompak menjadi allBTC dan disimpan di alamat di Osmosis. Menurut pengiraan Rarma, pada masa penyiasatan, jumlah allBTC yang beredar berjumlah sekitar 110,57 allBTC dengan jaminan sebenar sebanyak 70,73 bitcoin. Kekurangannya kira-kira 39,84 bitcoin.
Pasukan Osmosis mengesahkan bahawa 39,84 nBTC yang berkaitan dengan serangan dan tidak disokong oleh jumlah kripto pertama yang sepadan berada dalam jaminan allBTC. Selepas menghentikan operasi, pembangun Nomic bersama validator menjalankan kemas kini kecemasan rangkaian dan membekukan aset di alamat penyerang. Perwakilan bursa DeFi melaporkan bahawa mereka berniat untuk membawa cadangan untuk mengambil alih dana yang dibekukan ke dalam pemungutan suara. Kecekapan yang tinggal dicadangkan untuk ditutup dengan bitcoin daripada dana komuniti untuk memulihkan sepenuhnya jaminan allBTC.
Sebelum ini, syarikat pelaburan Dominion Capital mengajukan tuntutan terhadap pemberi pinjaman kripto BlockFills, menuduh perbuatan penyelewengan dan penahanan tidak sah aset kripto pelanggan bernilai kira-kira $5 juta. Semasa proses kes, mahkamah lingkungan Selatan New York membekukan 70,6 BTC yang dimiliki oleh BlockFills.