Bitcoin fond izgubio je 36% svoje podrške, nitko to nije primijetio 74 dana

Nomicov bug ostavio je Alloyed BTC s rupom u pokriću od 36%

Prema decentraliziranoj burzovnoj (DEX) platformi Osmosis, softverski propust u Nomicovoj prilagođenoj IBC putanji prosljeđivanja omogućio je napadaču da iskova nepokriveni nBTC i veći dio smjesti unutar Osmosisove košarice Alloyed BTC. Ono što zvuči gotovo nevjerojatno, a ipak je dokazivo istinito, jest da se kovanje dogodilo 25. lipnja i ostalo skriveno na očigled 74 dana.

“Nedavno smo postali svjesni exploita na Nomic lancu. Exploit je napadaču omogućio dvostruko trošenje nBTC-a, što im je omogućilo slanje lažnih vaučera na Osmosis. Osmosis i IBC nisu bili kompromitirani, jer je bug bio u prilagođenom mehanizmu prosljeđivanja na Nomicu. 39,84 nBTC-a od ukupno iskovanog iznosa nalazi se unutar Alloyed BTC-a, što predstavlja ~36% njegova pokrića,” Osmosis je objavio ovoga tjedna.

Osmosis zamrzava sredstva i obraća se upravljanju za rješenje

Nakon što je problem otkriven, Osmosis je na X-u objasnio da je brzo ugasio uplate i isplate koje uključuju Nomic i Alloyed BTC kako bi spriječio daljnje pomicanje sredstava. Zatim je tim surađivao s validatorima na hitnoj nadogradnji koja je zaključala 22,65 BTC-a koji su se nalazili u napadačevom novčaniku.

“Predložit ćemo oduzimanje ove imovine kroz upravljanje i zatražiti od upravljanja da iskoristi akumulirani BTC u zajedničkom fondu kako bi pokrilo preostali saldo i obnovilo puno pokriće Alloyed BTC-a,” napisao je tim.

Neovisni istraživač pronašao je bug koji je dvaput iskovao Alloyed Bitcoin

Neovisni istraživač poznat kao Rarma proučio je kod i podijelio uvide o tome što je pošlo po zlu na X-u. Pojednostavljeno, Nomicov sustav je slučajno stvorio isti bitcoin depozit dvaput. Prva je serija obrađena normalno, ali je druga postala dodatni nBTC koji se zapravo mogao potrošiti, navodi se u istraživačevoj objavi na X-u. Rarma je utvrdio da je to bio jedini od 18 sličnih procesa u datoteci koji je stvorio kovanice dvaput, a sustav nije čak ni provjerio tko kontrolira račun koji ih prima.

Za izvedbu je bio dovoljan samo jedan satoshi, iznimno jeftin napad, a Rarma je tada napisao da je neispravan kod i dalje stajao nepromijenjen u Nomicovoj razvojnoj grani kada je objavio svoja otkrića 8. rujna. Osmosisova sigurnosna nadogradnja objavljena je na X-u već sljedeći dan.

Unatoč problemu s BTC pokrićem kojim se tim bavi, incident i dalje nudi korisni podsjetnik o takozvanim BTC tokenima iskovanima na drugim lancima, jer je njihovo pokriće pouzdano samo onoliko koliko je pouzdan prilagođeni kod odgovoran za kovanje potraživanja.