Около 36 % обеспечения токена Alloyed BTC (allBTC) на децентрализованной бирже Osmosis оказалось необеспеченными nBTC, созданными в результате взлома сети Nomic. Команда проекта сообщила об инциденте и описала, как произошло нарушение безопасности.
Как прошла атака на Nomic
Уязвимость была обнаружена в пользовательском механизме пересылки транзакций в сети Nomic, что позволило злоумышленнику двойным способом тратить nBTC. Поскольку nBTC используется в Osmosis в качестве обеспечивающего актива allBTC, атакующий смог отправить фиктивные монеты на биржу.
Сначала злоумышленник создал около 40,65 nBTC и через 25 межсетевых переводов перенёс их в Osmosis. Через пул allBTC токены обменялись на WBTC и USDC. Затем через мосты Axelar и Noble средства попали в Ethereum, где они были конвертированы в ETH. В итоге около 671,75 ETH попали на конечный адрес и почти 671 ETH были переведены в миксер Tornado Cash. В сумме злоумышленник обменял и вывёл активы на сумму примерно 18 BTC. Остаток 22,65 nBTC был конвертирован в allBTC 17 июля и оставлен в Osmosis.
Ответ Osmosis и меры по восстановлению обеспечения
- Команда Osmosis приостановила ввод и вывод через Nomic, а также операции внесения и погашения allBTC.
- Совместно с валидаторами было проведено экстренное обновление протокола, позволившее заморозить активы злоумышленника.
- На адресе злоумышленника в Osmosis было заморожено 22,65 BTC, что соответствует 22,65 allBTC.
- Команда подтвердила, что в обеспечении allBTC теперь содержится 39,84 nBTC, связанные с атакой.
- Разработчики намерены вынести на голосование предложение об изъятии заблокированных средств.
- Оставшийся дефицит обеспечения предлагается покрыть биткоинами из фонда сообщества, чтобы полностью восстановить 100 % обеспечения allBTC.
Таким образом, после экстренного обновления и заморозки активов, Osmosis планирует вернуть надёжность обеспечения токена allBTC и предотвратить подобные инциденты в будущем.