בתוך מה שנראה כמו זרם אינסופי של פריצות, דליפות נתונים, ניצולים ובאגים, פגם תוכנה אחד מחק בשקט שליש מהגיבוי של קרן ביטקוין, ובאופן כלשהו לא הבחינו בכך במשך חודשיים.
קרן ביטקוין איבדה 36% מהגיבוי שלה, ואף אחד לא שם לב במשך 74 ימים
נכתב ע"י
שתף
נקודות עיקריות
- הבאג של Nomic מ-25 ביוני הטביע 39.84 nBTC ללא גיבוי, ויצר חור של 36% בגיבוי של Alloyed BTC.
- Osmosis נעלה 22.65 BTC לאחר שהבלגן של Nomic נותר ללא תשומת לב במשך 74 ימים מטורפים.
- כעת Osmosis רוצה שהממשל יתפוס 22.65 BTC ויחזיר את Alloyed BTC לגיבוי מלא.
באג ב-Nomic הותיר את Alloyed BTC עם חור גיבוי של 36%
לפי פלטפורמת הבורסה המבוזרת (DEX) Osmosis, פגם תוכנה בנתיב ההעברה המותאם אישית של IBC ב-Nomic אפשר לתוקף להטביע nBTC ללא גיבוי ולהחביא את רובו בתוך סל Alloyed BTC של Osmosis. מה שנשמע כמעט בלתי ייאמן, אך הוא אמת שניתן להוכיח, הוא שההטבעה התרחשה ב-25 ביוני ונשארה גלויה לעין במשך 74 ימים.
“לאחרונה, נודע לנו על ניצול בשרשרת Nomic. הניצול אפשר לתוקף לבצע הוצאה כפולה של nBTC, מה שאפשר להם לשלוח שוברים מזויפים ל-Osmosis. Osmosis ו-IBC לא נפגעו, שכן הבאג היה במנגנון העברה מותאם אישית ב-Nomic. 39.84 nBTC מתוך סך ההטבעה נמצאים בתוך Alloyed BTC, ומהווים ~36% מהגיבוי שלה,” חשפה Osmosis השבוע.
Osmosis מקפיאה כספים ופונה לממשל לתיקון
לאחר שהתגלתה הבעיה, Osmosis הסבירה ב-X כי היא השביתה במהירות הפקדות ומשיכות הקשורות ל-Nomic ול-Alloyed BTC כדי לעצור כל תנועה נוספת של כספים. לאחר מכן הצוות עבד עם מאמתים על עדכון חירום שנעל 22.65 BTC שישבו בארנק התוקף.
“נציע לממשל לתפוס את הנכסים הללו ונבקש מהממשל להשתמש ב-BTC שנצברו בבריכת הקהילה כדי לכסות את היתרה שנותרה ולהחזיר את הגיבוי המלא של Alloyed BTC,” כתב הצוות.
חוקר עצמאי מאתר את הבאג שהטביע את Alloyed Bitcoin פעמיים
החוקר העצמאי המוכר בשם Rarma חפר בקוד ושיתף תובנות לגבי מה השתבש ב-X. בפשטות, המערכת של Nomic יצרה בטעות את אותה הפקדת ביטקוין פעמיים. האצווה הראשונה טופלה כרגיל, אך השנייה הפכה ל-nBTC עודפים שניתן היה למעשה להוציא, כך צוין בפוסט של החוקר ב-X. Rarma מצא שזה היה היחיד מבין 18 תהליכים דומים בקובץ שיצר את המטבעות פעמיים, והמערכת אפילו לא אימתה מי שולט בחשבון שמקבל אותם.
ביצוע המהלך עלה רק סטושי אחד, מתקפה זולה במיוחד, ו-Rarma כתב בזמנו שהקוד הלקוי עדיין ישב ללא שינוי בענף הפיתוח של Nomic כאשר פרסם את ממצאיו ב-8 בספטמבר. עדכון האבטחה של Osmosis פורסם ב-X כבר למחרת.
למרות בעיית הגיבוי ב-BTC שהצוות מתמודד איתה, האירוע עדיין מציע תזכורת מועילה לגבי מה שמכונה טוקני BTC שמוטבעים בשרשראות אחרות, שכן הגיבוי שלהם אמין רק כמו הקוד המותאם אישית שאחראי להטביע את התביעה.
מאמר זה תורגם מאנגלית באמצעות בינה מלאכותית. הגרסה המקורית באנגלית היא המקור הקובע; תרגומים אוטומטיים עשויים להכיל אי-דיוקים, במיוחד במונחים משפטיים ורגולטוריים.
