Уразливість знаходилася в механізмі обробки транзакцій Nomic. Сама біржа та протокол міжмережевої взаємодії IBC не були скомпрометовані, запевнила команда Osmosis.
Nomic дозволяє використовувати біткоїн у інших блокчейнах через nBTC — токен, який має бути забезпечений відповідною кількістю біткоїнів, внесених у міст. На Osmosis nBTC входить до складу Alloyed BTC (allBTC) разом з іншими токенізованими версіями першої криптовалюти. Вони об’єднуються в загальний пул і можуть обмінюватися у співвідношенні 1:1.
Помилка Nomic дозволила зловмиснику повторно витрачати nBTC та надсилати токени на Osmosis без відповідного забезпечення. Через allBTC він потім міняв їх на інші активи.
Анонімний дослідник з ніком Rarma встановив, що основна атака відбулася 25 червня. За його даними, хакер створив близько 40,65 nBTC і відправив їх на Osmosis через 25 міжмережевих переказів. Частину токенів зловмисник обміняв на стейблкоїни USDC, потім перевів кошти через мости Axelar і Noble в Ефіріумі та конвертував їх у ефір. Всього таким чином невідомий вивів активи, еквівалентні приблизно 18 біткоїнам.
Залишилося 22,65 nBTC, які 17 липня хакер конвертував у allBTC і зберіг на адресі в Osmosis. За розрахунками Rarma, на момент розслідування в обігу перебувало близько 110,57 allBTC при реальному забезпеченні на 70,73 біткоїна. Дефіцит становив приблизно 39,84 біткоїна.
Команда Osmosis підтвердила, що у забезпеченні allBTC знаходилося 39,84 nBTC, пов’язаних із атакою та не забезпечених відповідною кількістю першої криптовалюти. Після припинення операцій розробники Nomic разом із валідаторами провели аварійне оновлення мережі та заморозили активи на адресі зловмисника. Представники DeFi-біржі повідомили, що збираються винести на голосування пропозицію про вилучення заблокованих коштів. Залишковий дефіцит вони пропонують покрити біткоїнами з фонду спільноти, щоб повністю відновити забезпечення allBTC.
Раніше інвестиційна компанія Dominion Capital подала позов проти криптокредитора BlockFills, заявивши про присвоєння та незаконне утримання клієнтських криптоактивів на суму близько $5 млн. На час розгляду справи суд Південного округу Нью-Йорка заморозив 70,6 BTC, що належать BlockFills.