Nawala ang 36% ng pondo na sumusuporta sa Bitcoin Fund, walang nakapansin sa loob ng 74 na araw

Bug sa Nomic Nag-iwan sa Alloyed BTC ng 36% na Butas sa Backing

Ayon sa decentralized exchange (DEX) platform na Osmosis, isang depekto sa software sa custom IBC forwarding path ng Nomic ang nagbigay-daan sa isang attacker na magmint ng nBTC na walang backing at itago ang karamihan nito sa loob ng basket ng Alloyed BTC ng Osmosis. Ang tila halos hindi kapanipaniwala, ngunit malinaw na totoo, ay nangyari ang pagmint noong Hunyo 25 at nanatiling nakatago sa lantad na paningin sa loob ng 74 araw.

“Kamakailan, nalaman namin ang isang exploit sa Nomic chain. Pinahintulutan ng exploit ang attacker na mag-double-spend ng nBTC, na nagbigay sa kanila ng kakayahang magpadala ng mga pekeng voucher papunta sa Osmosis. Hindi nakompromiso ang Osmosis at IBC, dahil ang bug ay nasa isang custom na forwarding mechanism sa Nomic. 39.84 nBTC ng kabuuang na-mint ang nasa loob ng Alloyed BTC, na kumakatawan sa ~36% ng backing nito,” ibinunyag ng Osmosis ngayong linggo.

Ni-freeze ng Osmosis ang mga Pondo at Dumulog sa Governance para sa Ayos

Nang matuklasan ang problema, ipinaliwanag ng Osmosis sa X na mabilis nitong isinara ang mga deposito at pag-withdraw na may kinalaman sa Nomic at Alloyed BTC upang pigilan ang anumang karagdagang paggalaw ng pondo. Pagkatapos, nakipagtulungan ang team sa mga validator sa isang emergency update na nag-lock sa 22.65 BTC na nasa wallet ng attacker.

“Ipopropose namin sa governance ang pagsamsam sa mga asset na ito at hihilingin sa governance na gamitin ang naipong BTC sa community pool upang masakop ang natitirang balanse at maibalik ang ganap na backing ng Alloyed BTC,” isinulat ng team.

Natukoy ng Isang Independent Researcher ang Bug na Nagmint ng Alloyed Bitcoin nang Dalawang Beses

Ang independent researcher na kilala bilang Rarma ay sinuri ang code at nagbahagi ng mga insight tungkol sa kung ano ang nagkamali sa X. Sa simpleng paliwanag, aksidenteng nalikha ng sistema ng Nomic ang parehong deposito ng bitcoin nang dalawang beses. Ang unang batch ay na-proseso nang normal, ngunit ang pangalawa ay naging sobrang nBTC na maaari talagang magastos, ayon sa X post ng researcher. Natuklasan ni Rarma na ito lamang ang nag-iisang kaso sa 18 magkakatulad na proseso sa file na lumikha ng mga coin nang dalawang beses, at ni hindi man lang nag-verify ang sistema kung sino ang may kontrol sa account na tumatanggap nito.

Nagkakahalaga lamang ito ng isang satoshi upang maisagawa, isang napakamurang pag-atake, at isinulat ni Rarma noong panahong iyon na ang may sira na code ay nananatiling hindi pa rin binabago sa development branch ng Nomic nang ilathala niya ang kanyang mga natuklasan noong Setyembre 8. Ipinost sa X ang Osmosis security update kinabukasan mismo.

Sa kabila ng problemang kinakaharap ng team sa BTC backing, nagsisilbi pa rin ang insidente bilang kapaki-pakinabang na paalala tungkol sa tinatawag na mga BTC token na na-mint sa iba pang chain, dahil ang backing ng mga ito ay kasing maaasahan lamang ng custom code na responsable sa pagmint ng claim.