Bitcoinov sklad je izgubil 36 % svojega kapitala, a tega 74 dni nihče ni opazil

Napaka v Nomicu povzročila 36-odstotno vrzel v kritju Alloyed BTC

Po podatkih platforme decentralizirane borze (DEX) Osmosis je programska napaka v Nomicovi prilagojeni poti posredovanja IBC napadalcu omogočila, da je izdal nepokrite nBTC in večino teh skril v košarico Alloyed BTC platforme Osmosis. Kar se zdi skoraj neverjetno, a je dokazano res, je dejstvo, da je do izdaje prišlo 25. junija, ta pa je ostala skrita na očeh vseh kar 74 dni.

»Pred kratkim smo ugotovili izkoriščanje ranljivosti v verigi Nomic. Ta ranljivost je napadalcu omogočila dvojno porabo nBTC, s čimer je lahko pošiljal ponarejene kupone v Osmosis. Osmosis in IBC nista bila ogrožena, saj je bila napaka v prilagojenem mehanizmu posredovanja na Nomicu. 39,84 nBTC od skupno izdanega zneska se nahaja v Alloyed BTC, kar predstavlja ~36 % njegovega kritja,“ je ta teden razkril Osmosis.

Osmosis zamrzne sredstva in se za rešitev obrne na upravni odbor

Ko je bil problem odkrit, je Osmosis na X pojasnil, da je hitro ustavil vplačila in izplačila, povezana z Nomic in Alloyed BTC, da bi preprečil nadaljnje premikanje sredstev. Ekipa je nato v sodelovanju z validatorji pripravila nujno posodobitev, ki je blokirala 22,65 BTC v napadalčevem denarniku.

»Upravnemu odboru bomo predlagali zaseg teh sredstev in ga prosili, naj za kritje preostalega zneska uporabi nakopičene BTC iz skupnega sklada skupnosti ter tako ponovno vzpostavi polno kritje Alloyed BTC,« je zapisala ekipa.

Neodvisni raziskovalec odkrije napako, zaradi katere je bil Alloyed Bitcoin ustvarjen dvakrat

Neodvisni raziskovalec, znan pod imenom Rarma, se je poglobil v kodo in na platformi X delil ugotovitve o tem, kaj je šlo narobe. Preprosto povedano, je sistem Nomic po nesreči dvakrat ustvaril isti depozit bitcoinov. Prva serija je bila obdelana normalno, druga pa je postala dodatni nBTC, ki ga je bilo mogoče dejansko porabiti, kot je raziskovalec navedel v objavi na X. Rarma je ugotovil, da je bil to edini od 18 podobnih postopkov v datoteki, pri katerem so se kovanci ustvarili dvakrat, sistem pa sploh ni preveril, kdo nadzira račun, na katerega so bili nakazani.

Za izvedbo tega je bilo potrebno le en satoshi, kar je izredno poceni napad, Rarma pa je takrat zapisal, da je napaka v kodi ob objavi njegovih ugotovitev 8. septembra še vedno ostala nespremenjena v razvojni veji Nomic. Varnostna posodobitev za Osmosis je bila objavljena na X že naslednji dan.

Kljub težavi s kritjem v BTC, s katero se ekipa spopada, ta incident še vedno predstavlja koristen opomin glede tako imenovanih BTC-tokenov, izdanih na drugih verigah, saj je njihovo kritje zanesljivo le toliko, kolikor je zanesljiva prilagojena koda, odgovorna za izdajo zahtevka.