Osmosis ja Nomic eivät huomanneet 40 bitcoinin varkautta 74 päivään
- Hyökkääjä loi 40,65 bitcoinin arvosta katteettomia nBTC-tokeneita kesäkuun 25. päivänä kahta ohjelmistovirhettä yhdistämällä.
- Osmosis huomasi vuodon vasta 74 päivää myöhemmin, kun sen omasta allBTC-tokenista paljastui 36 prosentin vaje.
- Nomic-siltaprojekti vaikuttaa hylätyltä, sillä sen X-tili on ollut hiljaa vuodesta 2024 ja Githubiin ei ole koskettu kahteen vuoteen.
- Osmosis jäädytti loput varoista hätäpäivityksellä, mutta noin miljoona dollaria ehti siirtyä Tornado Cash -sekoituspalveluun.
Kaksi ohjelmistovirhettä yhdistänyt hyökkääjä loi katteettomia bitcoin-tokeneita, ja osa saaliista päätyi Tornado Cashiin.
Yli 40 bitcoinia ilmestyi tyhjästä hajautetun Osmosis-pörssin kirjanpitoon kesäkuun 25. päivänä, eikä mikään Cosmos-ekosysteemin projekteista huomannut sitä 74 päivään.
Hyökkääjä yhdisti kaksi erillistä ohjelmistovirhettä yhdeksi transaktioksi, joka loi Osmosikselle noin 40,65 bitcoinin arvosta nBTC-tokeneita ilman, että niiden takana oli lainkaan aitoa bitcoinia, kertoo Osmosiksen hallintofoorumilla julkaistu kirjoitus.
nBTC on Nomic-siltaprojektin liikkeeseen laskema, bitcoiniin sidottu token, jolla käydään kauppaa Osmosis-pörssissä.
Katteettomat tokenit pysyivät piilossa. Lähes kymmenen viikkoa.
Vasta kun Nomic-protokolla pysäytettiin syyskuun alussa, Osmosis käynnisti oman allBTC-tokeninsa katteen tarkastuksen. Tarkastus paljasti, että 36 prosenttia allBTC:stä oli katteetonta.
Kumpikaan projekti ei siis havainnut eikä raportoinut menetystä koko sinä aikana.
Nomic, virheellisen sillan taustalla oleva projekti, vaikuttaa käytännössä hylätyltä: sen X-tili on ollut hiljaa vuodesta 2024, ja Githubin viimeisin commit on kahden vuoden takaa.
Hyökkääjä jätti osan saaliista koskematta allBTC-muodossa, ja Osmosis jäädytti nuo varat tällä viikolla niin sanotulla hätäpäivityksellä. Lopun hän ehti kuitenkin siirtää eteenpäin: 671 etheriä, silloisella kurssilla noin miljoona dollaria, päätyi Tornado Cash -sekoituspalveluun Ethereum-verkossa, Etherscanin tapahtumaketjun mukaan.
Osmosiksen hallintofoorumille jätetty korjausehdotus sisältää kolme toimenpidettä. Hyökkääjän tilille jäädytetty 22,65 allBTC takavarikoidaan, USDC.noble-tokenin likviditeetin suunniteltu uudelleensijoitus perutaan, ja loput vajeesta katetaan ottamalla lisää allBTC:tä projektin yhteisörahastosta.
Toistuva ongelma Cosmos-ekosysteemissä
Osmosiksen ja Nomicin tapaus ei ole ekosysteemin ainoa tuore. Cosmos-ekosysteemiä ravisteli hiljattain myös erillinen virhe laajasti käytetyssä Cosmos EVM -moduulissa, joka vaikutti neljään eri lohkoketjuun. Kehittäjäyhtiö Cosmos Labs sai osakseen arvostelua tavastaan tiedottaa virheestä.
Yksi vahinkoa kärsineistä projekteista, KiiChain, sanoi, että menetys olisi ollut vältettävissä.
– Cosmos Labs julkaisi tietoturvakorjauksen ennen kuin se ilmoitti asiasta yksityisesti kärsineille tiimeille. Näin haavoittuvuus paljastuu kenelle tahansa, joka lukee commit-viestejä, KiiChain totesi X-palvelussa.
