На фоне, казалось бы, нескончаемого потока хакерских атак, утечек данных, уязвимостей и программных ошибок один программный сбой незаметно уничтожил треть средств, составляющих основу биткоин-фонда, и каким-то образом оставался незамеченным в течение двух месяцев.
Биткоин-фонд потерял 36 % своих активов, но в течение 74 дней этого никто не заметил
АВТОР
ПОДЕЛИТЬСЯ
Основные выводы
- Ошибка в Nomic, произошедшая 25 июня, привела к созданию 39,84 nBTC без обеспечения, что пробило дыру в размере 36% в обеспечении Alloyed BTC.
- Osmosis заблокировал 22,65 BTC после того, как проблема с Nomic оставалась незамеченной в течение целых 74 дней.
- Теперь Osmosis хочет, чтобы орган управления изъял 22,65 BTC и восстановил полное обеспечение Alloyed BTC.
Ошибка в Nomic привела к образованию 36%-ной дыры в обеспечении Alloyed BTC
По данным платформы децентрализованной биржи (DEX) Osmosis, программный баг в настраиваемом пути пересылки IBC Nomic позволил злоумышленнику выпустить необеспеченные nBTC и спрятать большую их часть в корзине Alloyed BTC Osmosis. То, что звучит почти невероятно, но, как можно доказать, является правдой, — это то, что эмиссия произошла 25 июня и оставалась незамеченной на протяжении 74 дней.
«Недавно нам стало известно об уязвимости в цепочке Nomic. Эта уязвимость позволила злоумышленнику провести двойную трату nBTC, что дало ему возможность отправить поддельные ваучеры в Osmosis. Osmosis и IBC не подверглись взлому, так как уязвимость находилась в пользовательском механизме переадресации в Nomic. 39,84 nBTC от общего количества выпущенных монет находятся в корзине Alloyed BTC, что составляет ~36% от его обеспечения», — сообщил Osmosis на этой неделе.
Osmosis заморозила средства и обратилась к системе управления для устранения проблемы
Как только проблема была обнаружена, Osmosis пояснила в X, что оперативно приостановила прием и вывод средств, связанных с Nomic и Alloyed BTC, чтобы предотвратить дальнейшее перемещение средств. Затем команда совместно с валидаторами разработала экстренное обновление, которое заблокировало 22,65 BTC, находившихся в кошельке злоумышленника.
«Мы предложим органам управления конфисковать эти активы и попросим их использовать накопленные BTC из общественного пула для покрытия оставшегося остатка и восстановления полного обеспечения Alloyed BTC», — написала команда.
Независимый исследователь обнаружил ошибку, из-за которой Alloyed Bitcoin был отчеканен дважды
Независимый исследователь, известный как Rarma, изучил код и поделился своими выводами о том, что пошло не так, в своем посте на X. Проще говоря, система Nomic случайно создала один и тот же депозит биткоинов дважды. Первая партия была обработана нормально, но вторая превратилась в лишние nBTC, которые можно было реально потратить, как отмечалось в посте исследователя в X. Rarma обнаружил, что это был единственный из 18 подобных процессов в файле, при котором монеты были созданы дважды, причем система даже не проверяла, кто контролирует счет, на который они поступали.
Осуществление этой атаки обошлось всего в один сатоши — это чрезвычайно дешевая атака, и Rarma написал тогда, что на момент публикации своих выводов 8 сентября ошибочный код по-прежнему оставался неизменным в ветке разработки Nomic. Обновление безопасности Osmosis было опубликовано в X уже на следующий день.
Несмотря на проблему с обеспечением в BTC, с которой сталкивается команда, этот инцидент по-прежнему служит полезным напоминанием о так называемых токенах BTC, чеканимых на других цепочках, поскольку их обеспечение надежно ровно настолько, насколько надежен пользовательский код, отвечающий за чеканку права на них.
Эта статья была переведена с английского языка с помощью искусственного интеллекта. Оригинальная версия на английском языке является авторитетным источником; автоматические переводы могут содержать неточности, особенно в юридической и нормативной терминологии.
