A vulnerabilidade estava no mecanismo de processamento de transações da Nomic. A própria exchange e o protocolo de interoperabilidade IBC não foram comprometidos, garantiu a equipe da Osmosis.
Nomic permite o uso do Bitcoin em outras blockchains por meio do nBTC — um token que deve ser lastreado pela quantidade correspondente de Bitcoin depositada na ponte. No Osmosis, o nBTC faz parte do Alloyed BTC (allBTC) junto com outras versões tokenizadas da primeira criptomoeda. Elas são combinadas em um único pool e podem ser trocadas na proporção de 1:1.
O erro da Nomic permitiu que o atacante gastasse nBTC novamente e enviasse tokens para o Osmosis sem cobertura adequada. Por meio do allBTC, ele posteriormente os trocou por outros ativos.
Um pesquisador anônimo com o pseudônimo Rarma estabeleceu que o ataque principal ocorreu em 25 de junho. Segundo seus dados, o hacker criou cerca de 40,65 nBTC e enviou para o Osmosis por meio de 25 transferências interchain. Parte dos tokens foi trocada por stablecoins USDC; em seguida, os fundos foram transferidos por meio das pontes Axelar e Noble para o Ethereum e convertidos em ether. No total, o desconhecido retirou ativos equivalentes a aproximadamente 18 bitcoins dessa maneira.
Os 22,65 nBTC restantes em 17 de julho foram convertidos pelo hacker em allBTC e armazenados em um endereço na Osmosis. Segundo cálculos da Rarma, no momento da investigação, havia cerca de 110,57 allBTC em circulação, com cobertura real de 70,73 bitcoins. A deficiência era de aproximadamente 39,84 bitcoins.
A equipe Osmosis confirmou que 39,84 nBTC associados ao ataque e não lastreados pela quantidade correspondente da criptomoeda original estavam em garantia do allBTC. Após a suspensão das operações, os desenvolvedores da Nomic, em conjunto com os validadores, realizaram uma atualização de emergência na rede e congelaram os ativos no endereço do atacante. Representantes da exchange DeFi informaram que pretendem submeter à votação uma proposta para resgatar os fundos bloqueados. O déficit restante será coberto com bitcoins do fundo da comunidade, a fim de restaurar completamente o lastreamento do allBTC.
Anteriormente, a empresa de investimentos Dominion Capital apresentou uma ação contra o credor cripto BlockFills, acusando-o de desvio e retenção ilegal de ativos cripto de clientes no valor aproximado de US$ 5 milhões. Durante o processo, o tribunal do Distrito Sul de Nova York congelou 70,6 BTC pertencentes à BlockFills.