Zafiyet, Nomic'in işlem işleme mekanizmasında bulunuyordu. Osmosis ekibi, borsanın ve IBC çapraz zincir protokolünün işgal edilmediğini doğruladı.
Nomic, nBTC adlı bir token aracılığıyla Bitcoin'i diğer blok zincirlerinde kullanmayı sağlar; bu token, köprüye yatırılan karşılık gelen Bitcoin miktarı ile desteklenmelidir. Osmosis'te nBTC, ilk kripto para biriminin diğer tokenize edilmiş versiyonlarıyla birlikte Alloyed BTC (allBTC) bileşenidir. Bunlar ortak bir havuza birleştirilir ve 1:1 oranında takas edilebilir.
Nomic hatası, saldırganın nBTC'yi tekrar harcamasına ve yeterli teminata sahip olmaksızın Osmosis'e token göndermesine izin verdi. allBTC aracılığıyla ardından bunları diğer varlıklara değiştirdi.
Anonim araştırmacı Rarma, temel saldırının 25 Haziran'da gerçekleştiğini tespit etti. Verilerine göre, haker yaklaşık 40,65 nBTC oluşturdu ve bunları 25 arası transfer aracılığıyla Osmosis'e gönderdi. Hakerin bir kısmı tokenleri USDC stabil coin'leriyle değiştirdi, ardından Axelar ve Noble köprüleri aracılığıyla Ethereum'a aktardı ve bunları ether'e dönüştürdü. Bu yöntemle bilinmeyen toplamda yaklaşık 18 bitcoin değerinde varlık çıkarttı.
17 Temmuz'da kalan 22,65 nBTC, haker tarafından allBTC'ye dönüştürüldü ve Osmosis adresine saklandı. Rarma'nın hesaplamalarına göre, soruşturma sırasında dolaşımda yaklaşık 110,57 allBTC bulunuyordu, ancak gerçek teminat 70,73 bitcoin idi. Eksiklik yaklaşık 39,84 bitcoin idi.
Osmosis ekibi, allBTC'nin teminatında saldırı ile ilişkili ve ilgili miktarda ilk kripto para birimiyle desteklenmemiş 39,84 nBTC bulunduğunu doğruladı. Nomic işlemleri durdurulduktan sonra geliştiriciler, doğrulayıcılarla birlikte ağda acil bir güncelleme gerçekleştirdi ve saldırganın adresindeki varlıkları dondurdu. DeFi borsası temsilcileri, dondurulan varlıkların tahsis edilmesi yönünde bir öneriyi oylamaya sunmayı planladıklarını duyurdu. Kalan eksikliği, allBTC'nin tamamen teminatını yeniden kurmak için topluluk fonundan bitcoinlerle karşılamayı öneriyorlar.
Daha önce yatırım şirketi Dominion Capital, BlockFills kripto kredilendiricisine karşı, yaklaşık 5 milyon dolarlık müşteri kripto varlıklarını hırsızlık ve yasadışı tutma suçlamasıyla dava açtı. Davanın süresince New York'un Güney Bölgesi Mahkemesi, BlockFills'e ait 70,6 BTC'yi dondurdu.