Уязвимость находилась в механизме обработки транзакций Nomic. Сама биржа и протокол межсетевого взаимодействия IBC взломаны не были, заверила команда Osmosis.
Nomic позволяет использовать биткоин в других блокчейнах через nBTC — токен, который должен быть обеспечен соответствующим количеством биткоинов, внесенных в мост. На Osmosis nBTC входит в состав Alloyed BTC (allBTC) вместе с другими токенизированными версиями первой криптовалюты. Они объединяются в общий пул и могут обмениваться в соотношении 1:1.
Ошибка Nomic позволила злоумышленнику повторно тратить nBTC и отправлять на Osmosis токены без соответствующего обеспечения. Через allBTC он затем обменивал их на другие активы.
Анонимный исследователь с ником Rarma установил, что основная атака произошла 25 июня. По его данным, хакер создал около 40,65 nBTC и отправил на Osmosis через 25 межсетевых переводов. Часть токенов злоумышленник обменял на стейблкоины USDC, затем перевел средства через мосты Axelar и Noble в Эфириуме и конвертировал в эфир. Всего таким способом неизвестный вывел активы, эквивалентные примерно 18 биткоинам.
Оставшиеся 22,65 nBTC 17 июля хакер конвертировал в allBTC и сохранил на адресе в Osmosis. По расчетам Rarma, на момент расследования в обращении находилось около 110,57 allBTC при реальном обеспечении на 70,73 биткоина. Нехватка составляла примерно 39,84 биткоинов.
Команда Osmosis подтвердила, что в обеспечении allBTC находились 39,84 nBTC, связанные с атакой и не обеспеченные соответствующим количеством первой криптовалюты. После остановки операций Nomic разработчики совместно с валидаторами провели экстренное обновление сети и заморозили активы на адресе злоумышленника. Представители DeFi-биржи сообщили, что намерены вынести на голосование предложение об изъятии заблокированных средств. Оставшийся дефицит они предлагают покрыть биткоинами из фонда сообщества, чтобы полностью восстановить обеспечение allBTC.
Ранее инвестиционная компания Dominion Capital подала иск против криптокредитора BlockFills, обвинив в присвоении и незаконном удержании клиентских криптоактивов примерно на $5 млн. На время разбирательства суд Южного округа Нью-Йорка заморозил 70,6 BTC, принадлежащих BlockFills.