Lỗ hổng nằm trong cơ chế xử lý giao dịch của Nomic. Đội ngũ Osmosis khẳng định rằng chính sàn giao dịch và giao thức liên chuỗi IBC không bị xâm phạm.
Nomic cho phép sử dụng bitcoin trên các blockchain khác thông qua nBTC — một token được đảm bảo bởi lượng bitcoin tương ứng được gửi vào cầu. Trên Osmosis, nBTC tạo thành Alloyed BTC (allBTC) cùng với các phiên bản tokenized khác của đồng tiền điện tử đầu tiên. Chúng được gộp vào một pool chung và có thể trao đổi theo tỷ lệ 1:1.
Lỗi của Nomic đã cho phép kẻ tấn công chi tiêu lại nBTC và gửi các token đến Osmosis mà không có sự đảm bảo tương ứng. Sau đó, thông qua allBTC, hắn trao đổi chúng lấy các tài sản khác.
Nhà nghiên cứu ẩn danh có biệt danh Rarma đã xác định, rằng cuộc tấn công chính diễn ra vào ngày 25 tháng Sáu. Theo dữ liệu của ông, hacker đã tạo ra khoảng 40,65 nBTC và chuyển qua Osmosis thông qua 25 giao dịch chéo mạng. Một phần token đã được kẻ xấu đổi lấy các stablecoin USDC, sau đó chuyển tiền qua các cầu Axelar và Noble sang Ethereum và chuyển đổi thành ether. Tổng cộng, kẻ không rõ danh tính đã rút đi tài sản tương đương khoảng 18 bitcoin theo cách này.
22,65 nBTC còn lại vào ngày 17 tháng 7, kẻ tấn công đã chuyển đổi thành allBTC và lưu trữ tại địa chỉ trên Osmosis. Theo tính toán của Rarma, vào thời điểm điều tra, lượng allBTC đang lưu hành khoảng 110,57 allBTC trong khi tài sản đảm bảo thực tế chỉ là 70,73 bitcoin. Khoảng thiếu hụt vào khoảng 39,84 bitcoin.
Đội ngũ Osmosis xác nhận rằng trong tài sản đảm bảo allBTC có 39,84 nBTC liên quan đến cuộc tấn công và không được đảm bảo bởi lượng tiền điện tử đầu tiên tương ứng. Sau khi dừng các giao dịch, các nhà phát triển Nomic cùng các validator đã thực hiện cập nhật khẩn cấp mạng và đóng băng tài sản tại địa chỉ của kẻ tấn công. Đại diện của sàn DeFi cho biết họ dự định đưa ra bỏ phiếu đề xuất thu hồi các tài sản bị khóa. Phần thiếu hụt còn lại họ đề xuất bù đắp bằng bitcoin từ quỹ cộng đồng để hoàn toàn khôi phục mức đảm bảo của allBTC.
Trước đó, công ty đầu tư Dominion Capital đã kiện công ty cho vay tiền mã hóa BlockFills, đề nghị cáo buộc chiếm đoạt và giữ trái phép tài sản tiền mã hóa của khách hàng trị giá khoảng 5 triệu USD. Trong thời gian xử lý vụ việc, tòa án khu vực Nam New York đã phong tỏa 70,6 BTC thuộc sở hữu của BlockFills.