Osmosis suspendió los depósitos, retiros, acuñaciones y canjes de Alloyed BTC después de que una vulnerabilidad en Nomic permitiera a un atacante realizar un doble gasto de nBTC y enviar comprobantes sin respaldo a Osmosis. La pausa mantiene negociables los pools de liquidez existentes, pero impide a los usuarios emitir o canjear el activo compuesto mientras se evalúa su respaldo.

La falla de seguridad afectó 39.84 nBTC depositados dentro de Alloyed BTC, lo que representa aproximadamente el 36% del respaldo del activo. Osmosis y el protocolo de Comunicación InterBlockchain (IBC) no fueron comprometidos. La vulnerabilidad estaba aislada en el mecanismo personalizado de reenvío de Nomic.

Una actualización de emergencia congela 22.65 BTC

Después de detectar la discrepancia, la subDAO de gestión de Osmosis detuvo las entradas y salidas de Nomic y Alloyed BTC. Luego, los validadores coordinaron una actualización de emergencia de la red que congeló 22.65 BTC en una dirección controlada por el atacante.

Los pools de liquidez de BTC existentes siguen siendo negociables, pero los usuarios no pueden crear nuevos Alloyed BTC ni canjearlos mediante el mecanismo normal de respaldo. Osmosis había pausado las operaciones de Alloyed BTC antes de publicar el desglose más detallado del exploit de Nomic.

Alloyed BTC, o allBTC, combina múltiples representaciones de Bitcoin en un solo activo de Osmosis. Estas incluyen WBTC nativo, WBTC y cbBTC enviados mediante Axelar, WBTC enviado mediante Cosmos Hub y el nBTC de Nomic. Los límites de cada componente buscan restringir hasta qué punto el activo puede depender de un puente individual.

El incidente difiere del drenaje de $24.15 millones del puente de AFX ocurrido en julio, en el que las firmas de los validadores autorizaron un retiro no autorizado de USDC. La falla de Nomic, en cambio, permitió que el mismo valor subyacente respaldara múltiples reclamos de nBTC antes de que comprobantes falsificados ingresaran a Osmosis mediante IBC.

La gobernanza podría cubrir un déficit restante de 17.19 BTC

Osmosis planea solicitar a la gobernanza la incautación de los 22.65 BTC congelados y utilizar Bitcoin almacenado en el fondo comunitario para cubrir el déficit restante. Esto hace que el plan de recuperación dependa de la aprobación de la gobernanza, en lugar de depender únicamente de la acción de los validadores o de una actualización técnica.

Si se recupera la cantidad congelada, quedarían aproximadamente 17.19 BTC para la recapitalización, con base en la exposición de 39.84 nBTC identificada por Osmosis. La combinación propuesta restauraría el respaldo total de Alloyed BTC antes de reanudar las acuñaciones y los canjes normales.

El incidente sigue a otra falla relacionada con una representación de Bitcoin, no con Bitcoin en sí. Liquid Network recuperó recientemente 3,400 BTC después de que casi 4,000 BTC salieran de su reserva de federación cuando L-BTC sin respaldo ingresó a una ruta autorizada de salida del sistema de vinculación.

La exposición a Nomic estaba destinada a aumentar

La exposición a Nomic es relevante porque Osmosis había considerado aumentar la participación permitida de nBTC en Alloyed BTC. Una discusión de gobernanza de julio propuso elevar el límite estático de nBTC del 35% al 60%, después de que su participación alcanzara aproximadamente el 33%.

La propuesta señalaba que la demanda de Nomic había superado el límite existente. Sin embargo, un participante de la comunidad cuestionó la limitada actividad pública de desarrollo del puente y planteó específicamente el riesgo de un futuro compromiso.

Osmosis no ha reanudado los depósitos, retiros, acuñaciones ni canjes de Alloyed BTC. El siguiente paso de recuperación es una propuesta de gobernanza que contemple la incautación de los 22.65 BTC congelados y el uso de Bitcoin del fondo comunitario para restaurar el respaldo del activo.