Osmosis приостановила депозиты, выводы, выпуск и погашение Alloyed BTC после того, как уязвимость в Nomic позволила атакующему осуществить двойную трату nBTC и отправить необеспеченные ваучеры в Osmosis. Приостановка оставляет существующие пулы ликвидности доступными для торговли, но не позволяет пользователям выпускать или погашать составной актив, пока проводится оценка его обеспечения.

Сбой безопасности затронул 39,84 nBTC в составе Alloyed BTC, что составляет примерно 36% обеспечения актива. Osmosis и протокол Inter-Blockchain Communication (IBC) не были скомпрометированы. Уязвимость была локализована в кастомном механизме переадресации Nomic.

Экстренное обновление замораживает 22,65 BTC

Обнаружив расхождение, управляющий subDAO Osmosis остановил входящие и исходящие потоки средств Nomic и Alloyed BTC. Затем валидаторы скоординировали экстренное обновление сети, в рамках которого 22,65 BTC были заморожены на адресе, контролируемом атакующим.

Существующие пулы ликвидности BTC остаются доступны для торговли, но пользователи пока не могут создавать новый Alloyed BTC или погашать его через обычный механизм обеспечения. Osmosis приостановила операции с Alloyed BTC еще до публикации более подробного разбора эксплойта Nomic.

Alloyed BTC, или allBTC, объединяет несколько представлений биткоина в едином активе Osmosis. К ним относятся нативный WBTC, WBTC и cbBTC, маршрутизируемые через Axelar, WBTC через Cosmos Hub, а также nBTC от Nomic. Лимиты на каждый компонент призваны ограничить степень зависимости актива от любого отдельного моста.

Этот инцидент отличается от июльского вывода средств из моста AFX на сумму 24,15 млн долларов, где подписи валидаторов авторизовали несанкционированное изъятие USDC. Сбой Nomic вместо этого позволил одной и той же базовой стоимости обеспечивать несколько требований по nBTC до того, как поддельные ваучеры поступили в Osmosis через IBC.

Управление могло бы закрыть оставшийся дефицит в 17,19 BTC

Osmosis планирует обратиться к управлению с просьбой изъять замороженные 22,65 BTC и использовать биткоины, находящиеся в пуле сообщества, для покрытия оставшегося дефицита. Это делает план восстановления зависимым от одобрения управления, а не только от действий валидаторов или технического обновления.

Если замороженная сумма будет возвращена, на рекапитализацию останется примерно 17,19 BTC, исходя из выявленной Osmosis экспозиции в 39,84 nBTC. Предлагаемое сочетание позволит восстановить полное обеспечение Alloyed BTC до возобновления нормального выпуска и погашения.

Инцидент последовал за другим сбоем, связанным с представлением биткоина, а не с самим биткоином. Liquid Network недавно вернула 3 400 BTC после того, как почти 4 000 BTC покинули резерв федерации, когда необеспеченный L-BTC попал в авторизованный маршрут peg-out.

Экспозицию к Nomic планировалось увеличить

Экспозиция к Nomic примечательна тем, что Osmosis рассматривала возможность увеличения разрешенной доли nBTC в Alloyed BTC. Июльское обсуждение в управлении предлагало поднять статический лимит nBTC с 35% до 60% после того, как его доля достигла примерно 33%.

В предложении указывалось, что спрос на Nomic превысил действующий лимит. Однако один из участников сообщества усомнился в ограниченной публичной активности по разработке моста и отдельно указал на риск компрометации в будущем.

Osmosis не возобновила депозиты, выводы, выпуск и погашение Alloyed BTC. Следующим шагом восстановления станет предложение для управления, предусматривающее изъятие замороженных 22,65 BTC и использование биткоинов из пула сообщества для восстановления обеспечения актива.