Ett fel på en satoshi har just orsakat ett hål på 3 miljoner dollar i Osmosis bitcoinfond

En angripare upptäckte en sårbarhet i Nomics bryggkod, skapade bitcoin som inte existerade och överförde dem till Osmosis. Ingen upptäckte detta på 74 dagar.

Osmosis meddelade den 9 september att dess samlade Bitcoin-tillgång, Alloyed BTC, hade drivits med ungefär en tredjedel av sina reserver saknade sedan slutet av juni. Sårbarheten berodde på en bugg i Nomics kod för vidarebefordran av transaktioner, vilket gjorde det möjligt för en angripare att dubbelspendera nBTC – Nomics bitcoin-kopplade token – och mata in falska insättningskvitton i Osmosis system som om de vore backade av riktig BTC.

”Nyligen upptäckte vi en sårbarhet i Nomic-kedjan”, skrev börsen på X. ”Sårbarheten gjorde det möjligt för angriparen att dubbelspendera nBTC, vilket gjorde att denne kunde skicka falska kvitton till Osmosis. Osmosis och IBC har inte äventyrats, eftersom felet fanns i en anpassad vidarebefordringsmekanism på Nomic.”

Den sista delen är viktig. Nomic är en Cosmos-baserad bitcoin-sidokedja, och nBTC ska finnas i Osmosis Alloyed BTC-pool i ett rent förhållande på 1:1 mot äkta bitcoin, tillsammans med andra ”wrapped”-versioner som WBTC och cbBTC. Felet fanns inte i Osmosis egna kontrakt eller i Inter-Blockchain Communication-protokollet som binder samman Cosmos-kedjorna – det låg specifikt i hur Nomic hanterade inkommande bitcoin-insättningar.

Hur billigt var det?

Riktigt billigt. Enligt den oberoende forskaren känd som Rarma, som publicerade en transaktionsspårning och en genomgång av koden på X innan Osmosis egen information släpptes, gjorde felet att Nomic kunde registrera samma bitcoin-insättning två gånger. Den ena kopian behandlades som vanligt. Den andra blev gratis nBTC, som kunde skapas utan att någon bitcoin låg bakom. Rarma upptäckte felet i endast en av arton nästan identiska rutiner för insättningshantering i kodbasen, och det hela kostade tydligen angriparen en satoshi att utlösa.

Själva utnyttjandet kan spåras tillbaka till den 25 juni – inte september, när Osmosis gick ut med informationen. Under ungefär 25 kedjeöverskridande överföringar flyttade angriparen nära 40 nBTC till Osmosis. Det är ett långsamt blodflöde som gömde sig i full synlighet i två och en halv månad, inte ett snabbt rån.

Vad det faktiskt kostade

Siffrorna här varierar något beroende på vem som räknar och vilket bitcoinpris som används just nu. Osmosis uppskattade det icke-täckta beloppet till 39,84 nBTC, vilket motsvarar nära 36% av Alloyed BTC:s totala täckning – ett underskott som rapporterades uppgå till cirka 3,15 miljoner dollar. Osmosis fryste 22,65 BTC som fortfarande fanns kvar på angriparens adress genom en nöduppgradering av valideraren, värda någonstans mellan 1,8 och 1,9 miljoner dollar beroende på ögonblicksbilden. Det innebär att det finns ett underskott på ungefär 17 BTC, eller något i den lägre delen av miljonklassen, som de frysta medlen inte täcker. Ingen av de rapporter jag har sett stämmer helt överens med dessa siffror, och Osmosis har ännu inte publicerat en redovisning rad för rad, så betrakta det exakta dollarbeloppet som ungefärligt snarare än slutgiltigt.

Osmosis har pausat utgivningen, inlösen och nya Nomic-relaterade insättningar medan man reder ut detta. Handeln med bitcoin-baserade tillgångar i befintliga pooler pågår fortfarande, med en varning om förhöjd risk. Styrelsen ombeds nu att godkänna beslagtagande av de frysta 22,65 BTC, tillsammans med ett tillskott från gemenskapspoolen, för att återställa Alloyed BTC till full täckning.

Det som borde oroa människor mer än dollarbeloppet

Bridges blir hackade hela tiden — Ronin förlorade 600 miljoner dollar, Nomad förlorade 190 miljoner dollar, Harmonys Horizon-bridge förlorade 100 miljoner dollar, och det är bara en lista över de största förlusterna från de senaste åren. Tre miljoner dollar är knappt märkbara jämfört med dem. Det som är ännu mer oroande här är gapet på 74 dagar. En brist fanns i produktionskoden, utnyttjades i små omgångar, och varken Nomics team eller Osmosis övervakning upptäckte den förrän en extern forskare började undersöka saken.

Enligt uppgift upptäckte Rarma den felaktiga logiken, som fortfarande inte hade åtgärdats, i Nomics utvecklingsgren den 8 september, dagen före Osmosis offentliga uttalande. Om detta nu är åtgärdat har inte bekräftats offentligt. Nomics eget konto hade vid skrivande stund inte publicerat någon motsvarande redogörelse, vilket i sig är talande – när det gäller en säkerhetslucka som rör din brygga, på din kedja, tolkas tystnaden antingen som bristande organisation eller en ovilja att ta ansvar för misslyckandet innan utredningen är klar.

Jag tror inte att detta i sig förstör förtroendet för Cosmos brygginfrastruktur. Men ”anpassad vidarebefordringsmekanism” spelar en stor roll i Osmosis uttalande, och det är värt att komma ihåg att det är just i varje bryggprojekts anpassade kod som dessa buggar tenderar att finnas – inte i de standardiserade, noggrant granskade delarna av stacken, utan i den skräddarsydda limkoden som ingen stresstestar lika hårt.