Dana Bitcoin Kehilangan 36% Modal Dasarnya, Tak Ada yang Menyadarinya Selama 74 Hari

Bug Nomic Menyebabkan Alloyed BTC Mengalami Kekosongan Jaminan Sebesar 36%

Menurut platform pertukaran terdesentralisasi (DEX) Osmosis, sebuah kelemahan perangkat lunak pada jalur penerusan IBC khusus Nomic memungkinkan penyerang mencetak nBTC tanpa jaminan dan menyimpan sebagian besarnya di dalam keranjang Alloyed BTC milik Osmosis. Yang terdengar hampir tak terbayangkan, namun terbukti benar, adalah bahwa pencetakan tersebut terjadi pada 25 Juni dan tetap tersembunyi di depan mata selama 74 hari.

“Baru-baru ini, kami mengetahui adanya eksploitasi di rantai Nomic. Eksploitasi tersebut memungkinkan penyerang melakukan double-spend nBTC, sehingga mereka dapat mengirim voucher palsu ke Osmosis. Osmosis dan IBC tidak terpengaruh, karena bug tersebut terdapat pada mekanisme penerusan khusus di Nomic. Sebanyak 39,84 nBTC dari total yang dicetak berada di dalam Alloyed BTC, mewakili sekitar 36% dari cadangannya,” ungkap Osmosis pekan ini.

Osmosis Membekukan Dana dan Mengandalkan Tata Kelola untuk Perbaikan

Setelah masalah tersebut terungkap, Osmosis menjelaskan di X bahwa mereka segera menghentikan setoran dan penarikan yang melibatkan Nomic dan Alloyed BTC untuk mencegah pergerakan dana lebih lanjut. Tim kemudian bekerja sama dengan para validator untuk melakukan pembaruan darurat yang mengunci 22,65 BTC yang berada di dompet penyerang.

“Kami akan mengusulkan penyitaan aset-aset ini kepada badan tata kelola dan meminta badan tata kelola untuk menggunakan BTC yang terkumpul di kolam komunitas guna menutupi sisa saldo dan memulihkan jaminan penuh Alloyed BTC,” tulis tim tersebut.

Peneliti Independen Menemukan Bug yang Menciptakan Alloyed Bitcoin Dua Kali

Peneliti independen yang dikenal sebagai Rarma menyelidiki kode tersebut dan membagikan wawasan tentang apa yang salah di X. Secara sederhana, sistem Nomic secara tidak sengaja menciptakan setoran bitcoin yang sama dua kali. Batch pertama diproses secara normal, tetapi batch kedua menjadi nBTC tambahan yang sebenarnya dapat dibelanjakan, demikian dicatat dalam postingan peneliti tersebut di X. Rarma menemukan bahwa ini adalah satu-satunya dari 18 proses serupa dalam file tersebut yang menciptakan koin dua kali, dan sistem bahkan tidak memverifikasi siapa yang mengendalikan akun penerima koin tersebut.

Melakukan hal ini hanya membutuhkan biaya satu satoshi, serangan yang sangat murah, dan Rarma menulis pada saat itu bahwa kode yang bermasalah tersebut masih tetap ada tanpa perubahan di cabang pengembangan Nomic ketika ia mempublikasikan temuan-temuannya pada 8 September. Pembaruan keamanan Osmosis diposting di X keesokan harinya.

Terlepas dari masalah penjaminan BTC yang sedang dihadapi tim, insiden ini tetap menjadi pengingat yang berguna mengenai apa yang disebut token BTC yang dicetak di rantai lain, karena penjaminannya hanya seandal kode khusus yang bertanggung jawab atas pencetakan klaim tersebut.