In un contesto caratterizzato da quella che sembra una serie infinita di attacchi hacker, violazioni dei dati, exploit e bug, una falla nel software ha silenziosamente azzerato un terzo delle riserve di un fondo in bitcoin, passando in qualche modo inosservata per due mesi.
Un fondo in bitcoin ha perso il 36% delle sue riserve, ma nessuno se ne è accorto per 74 giorni
SCRITTO DA
CONDIVIDI
Punti chiave
- Il bug di Nomic del 25 giugno ha generato 39,84 nBTC senza copertura, creando un buco del 36% nella copertura di Alloyed BTC.
- Osmosis ha bloccato 22,65 BTC dopo che il pasticcio di Nomic è rimasto inosservato per ben 74 giorni.
- Osmosis ora chiede alla governance di appropriarsi dei 22,65 BTC per ripristinare la piena copertura di Alloyed BTC.
Il bug di Nomic lascia Alloyed BTC con un buco del 36% nella copertura
Secondo la piattaforma di scambio decentralizzato (DEX) Osmosis, un difetto del software nel percorso di inoltro IBC personalizzato di Nomic ha permesso a un hacker di coniare nBTC non garantiti e di nasconderne la maggior parte all’interno del paniere Alloyed BTC di Osmosis. Ciò che sembra quasi incredibile, ma è dimostrabilmente vero, è che la coniazione sia avvenuta il 25 giugno e sia rimasta nascosta in bella vista per 74 giorni.
«Recentemente, siamo venuti a conoscenza di un exploit sulla catena Nomic. L’exploit ha permesso all’autore dell’attacco di effettuare una doppia spesa di nBTC, consentendogli di inviare voucher falsi a Osmosis. Osmosis e IBC non sono stati compromessi, poiché il bug risiedeva in un meccanismo di inoltro personalizzato su Nomic. 39,84 nBTC del totale emesso si trovano all’interno di Alloyed BTC, rappresentando circa il 36% della sua copertura», ha rivelato Osmosis questa settimana.
Osmosis blocca i fondi e ricorre alla governance per risolvere il problema
Una volta individuato il problema, Osmosis ha spiegato su X di aver immediatamente sospeso i depositi e i prelievi relativi a Nomic e Alloyed BTC per impedire ulteriori movimenti di fondi. Il team ha quindi collaborato con i validatori a un aggiornamento di emergenza che ha bloccato 22,65 BTC presenti nel portafoglio dell’autore dell’attacco.
“Proporremo alla governance di sequestrare questi asset e chiederemo alla governance di utilizzare i BTC accumulati nel pool della comunità per coprire il saldo residuo e ripristinare la piena copertura dell’Alloyed BTC”, ha scritto il team.
Un ricercatore indipendente individua il bug che ha coniato due volte l’Alloyed Bitcoin
Il ricercatore indipendente noto come Rarma ha analizzato il codice e ha condiviso su X alcune intuizioni su cosa sia andato storto. In termini semplici, il sistema di Nomic ha creato accidentalmente due volte lo stesso deposito di bitcoin. Il primo lotto è stato gestito normalmente, ma il secondo si è trasformato in nBTC aggiuntivi che potevano effettivamente essere spesi, come ha osservato il ricercatore nel suo post su X. Rarma ha scoperto che questo era l’unico dei 18 processi simili presenti nel file a generare le monete due volte, e il sistema non ha nemmeno verificato chi controllasse l’account che le riceveva.
Per portare a termine l’operazione è bastato un solo satoshi, un attacco estremamente economico, e Rarma ha scritto all’epoca che il codice difettoso era ancora presente, immutato, nel ramo di sviluppo di Nomic quando ha pubblicato le sue scoperte l’8 settembre. L’aggiornamento di sicurezza di Osmosis è stato pubblicato su X il giorno successivo.
Nonostante il problema relativo alla copertura in BTC che il team sta affrontando, l’incidente offre comunque un utile monito sui cosiddetti token BTC coniati su altre catene, poiché la loro copertura è affidabile solo quanto il codice personalizzato responsabile del conio del token stesso.
Questo articolo è stato tradotto dall'inglese tramite IA. La versione originale in inglese è la fonte autorevole; le traduzioni automatiche possono contenere imprecisioni, in particolare nella terminologia legale e normativa.
