Bitcoin-Fonds verlor 36 % seiner Deckung – 74 Tage lang bemerkte das niemand

Nomic-Fehler hinterlässt eine 36-prozentige Deckungslücke bei Alloyed BTC

Laut der dezentralen Börsenplattform (DEX) Osmosis ermöglichte ein Softwarefehler im benutzerdefinierten IBC-Weiterleitungspfad von Nomic einem Angreifer, ungedeckte nBTC zu prägen und den Großteil davon im „Alloyed BTC“-Korb von Osmosis zu verstecken. Was fast unglaublich klingt, aber nachweislich wahr ist: Die Prägung erfolgte am 25. Juni und blieb 74 Tage lang offen sichtbar verborgen.

„Vor kurzem wurden wir auf einen Exploit in der Nomic-Chain aufmerksam. Der Exploit ermöglichte es dem Angreifer, nBTC doppelt auszugeben, wodurch er gefälschte Gutscheine an Osmosis senden konnte. Osmosis und IBC waren nicht betroffen, da der Fehler in einem benutzerdefinierten Weiterleitungsmechanismus auf Nomic lag. 39,84 nBTC der insgesamt geschaffenen Menge befinden sich im „Alloyed BTC“-Korb, was etwa 36 % seiner Deckung entspricht“, teilte Osmosis diese Woche mit.

Osmosis friert Gelder ein und wendet sich zur Behebung des Problems an die Governance

Sobald das Problem entdeckt wurde, erklärte Osmosis auf X, dass es Ein- und Auszahlungen im Zusammenhang mit Nomic und Alloyed BTC umgehend gestoppt habe, um weitere Geldbewegungen zu verhindern. Das Team arbeitete daraufhin gemeinsam mit Validatoren an einem Notfall-Update, durch das 22,65 BTC, die sich in der Wallet des Angreifers befanden, gesperrt wurden.

„Wir werden der Governance vorschlagen, diese Vermögenswerte zu beschlagnahmen, und die Governance bitten, die im Community-Pool angesammelten BTC zu verwenden, um den verbleibenden Saldo zu decken und die vollständige Deckung von Alloyed BTC wiederherzustellen“, schrieb das Team.

Unabhängiger Forscher entdeckt den Fehler, der Alloyed Bitcoin doppelt generierte

Der als Rarma bekannte unabhängige Forscher hat sich den Code genauer angesehen und auf X Einblicke darüber geteilt, was schiefgelaufen ist. Vereinfacht ausgedrückt hat das System von Nomic versehentlich dieselbe Bitcoin-Einzahlung zweimal erstellt. Die erste Charge wurde normal verarbeitet, aber die zweite wurde zu zusätzlichem nBTC, das tatsächlich ausgegeben werden konnte, wie der Forscher in seinem X-Beitrag feststellte. Rarma stellte fest, dass dies der einzige von 18 ähnlichen Vorgängen in der Datei war, bei dem die Coins doppelt generiert wurden, und das System nicht einmal überprüfte, wer das empfangende Konto kontrollierte.

Die Durchführung kostete nur einen Satoshi – ein extrem kostengünstiger Angriff –, und Rarma schrieb damals, dass der fehlerhafte Code noch immer unverändert im Entwicklungszweig von Nomic vorhanden war, als er seine Erkenntnisse am 8. September veröffentlichte. Das Sicherheitsupdate von Osmosis wurde bereits am nächsten Tag auf X gepostet.

Trotz des Problems mit der BTC-Deckung, mit dem sich das Team derzeit befasst, bietet der Vorfall dennoch eine nützliche Erinnerung an sogenannte BTC-Token, die auf anderen Blockchains geprägt werden, da ihre Deckung nur so zuverlässig ist wie der benutzerdefinierte Code, der für die Prägung des Anspruchs verantwortlich ist.