En feil på én satoshi har nettopp forårsaket et tap på 3 millioner dollar i Osmosis’ Bitcoin-fond

En angriper oppdaget en sikkerhetsfeil i Nomics brokode, skapte bitcoin som ikke eksisterte, og overførte den til Osmosis. Ingen la merke til det på 74 dager.

Osmosis opplyste 9. september at deres samlede Bitcoin-aktiva, Alloyed BTC, hadde vært i drift med omtrent en tredjedel av reservene manglende siden slutten av juni. Utnyttelsen skyldtes en feil i Nomics kode for videresending av transaksjoner, som gjorde det mulig for en angriper å foreta dobbeltbruk av nBTC – Nomics bitcoin-knyttede token – og sende oppdiktede innskuddskuponger inn i Osmosis’ system som om de var dekket av ekte BTC.

«Nylig ble vi oppmerksomme på et sikkerhetsbrudd på Nomic-kjeden», skrev børsen på X. «Sikkerhetsbruddet gjorde det mulig for angriperen å foreta dobbeltbruk av nBTC, slik at vedkommende kunne sende falske innskuddskuponger til Osmosis. Osmosis og IBC ble ikke kompromittert, da feilen lå i en tilpasset videresendingsmekanisme på Nomic.»

Den siste delen er viktig. Nomic er en Cosmos-basert bitcoin-sidekjede, og nBTC skal ligge i Osmosis’ Alloyed BTC-pool i et rent én-til-én-forhold med ekte bitcoin, sammen med andre «wrapped»-versjoner som WBTC og cbBTC. Feilen lå ikke i Osmosis’ egne kontrakter eller i Inter-Blockchain Communication-protokollen som knytter Cosmos-kjeder sammen – den lå spesifikt i måten Nomic håndterte innkommende Bitcoin-innskudd på.

Hvor billig var det?

Virkelig billig. Ifølge den uavhengige forskeren kjent som Rarma, som publiserte en transaksjonssporingsrapport og en gjennomgang av koden på X før Osmosis’ egen offentliggjøring kom ut, gjorde feilen at Nomic kunne registrere det samme bitcoin-innskuddet to ganger. Den ene kopien ble behandlet som normalt. Den andre ble til gratis nBTC, som kunne preges uten at det lå noen Bitcoin bak. Rarma fant feilen i bare én av atten nesten identiske rutiner for innskuddsbehandling i kodebasen, og det hele kostet angivelig angriperen én satoshi å utløse.

Selve utnyttelsen kan spores tilbake til 25. juni – ikke september, da Osmosis ble offentliggjort. Gjennom omtrent 25 kryss-kjedeoverføringer flyttet angriperen nærmere 40 nBTC over til Osmosis. Dette er en langsom blødning som har skjult seg i fullt syn i to og en halv måned, ikke et hurtig ran.

Hva det faktisk kostet

Tallene her varierer litt avhengig av hvem som regner og hvilken bitcoin-kurs de bruker for øyeblikket. Osmosis anslo det udekket beløpet til 39,84 nBTC, nær 36% av Alloyed BTCs totale dekning – et underskudd på rundt 3,15 millioner dollar. Osmosis frøs 22,65 BTC som fortsatt ligger på angriperens adresse gjennom en nødoppgradering av valideringssystemet, verdt et sted mellom 1,8 og 1,9 millioner dollar avhengig av øyeblikksbildet. Det etterlater et gap på omtrent 17 BTC, eller et beløp i den lave delen av millionene, som de frosne midlene ikke dekker. Ingen av artiklene jeg har sett stemmer helt overens med disse tallene, og Osmosis har ennå ikke publisert en detaljert regnskapsoppstilling, så betrakt det eksakte dollarbeløpet som en retningsgivende anslag snarere enn et endelig tall.

Osmosis har satt utstedelse, innløsninger og nye Nomic-relaterte innskudd på pause mens de ordner opp i dette. Handel med bitcoin-støttede aktiva i eksisterende puljer er fortsatt aktiv, med en advarsel om økt risiko. Styringsorganet blir nå bedt om å godkjenne beslagleggelse av de frosne 22,65 BTC, sammen med et tilskudd fra fellesskapspuljen, for å bringe Alloyed BTC tilbake til full dekning.

Det som bør bekymre folk mer enn dollarbeløpet

Broer blir hacket hele tiden — Ronin mistet 600 millioner dollar, Nomad mistet 190 millioner dollar, Harmony's Horizon-bro mistet 100 millioner dollar, og det er bare en liste over de største tilfellene fra de siste årene. Tre millioner dollar er knapt verdt å nevne i forhold til disse. Det som er enda mer urovekkende her, er gapet på 74 dager. En feil lå i produksjonskoden, ble utnyttet i små omganger, og verken Nomics team eller Osmosis’ overvåking oppdaget den før en ekstern forsker begynte å lete.

Rarma skal angivelig ha funnet den feilaktige logikken, som fremdeles ikke var rettet, i Nomics utviklingsgren per 8. september, dagen før Osmosis’ offentlige uttalelse. Om dette nå er rettet, er ikke bekreftet offentlig. Nomics egen konto hadde ikke lagt ut en tilsvarende kunngjøring da dette ble skrevet, noe som i seg selv er avslørende – når det gjelder et sikkerhetsbrudd som involverer din bro, på din kjede, tolkes taushet enten som manglende organisering eller en uvillighet til å ta ansvar for feilen før etteranalysen er klar.

Jeg tror ikke dette i seg selv ødelegger tilliten til Cosmos’ broinfrastruktur. Men «tilpasset videresendingsmekanisme» spiller en stor rolle i den uttalelsen fra Osmosis, og det er verdt å huske at den tilpassede koden i hvert broprosjekt er akkurat der disse feilene pleier å ligge – ikke i de standardiserte, grundig reviderte delene av stakken, men i den skreddersydde limkoden som ingen stresstester like grundig.