Osmosis est un échange décentralisé dans l'écosystème Cosmos permettant d'échanger des jetons via des pools de liquidités et des transferts inter-chaînes. Le site a bloqué des actifs d'une valeur de 22,65 BTC après une attaque inconnue sur le réseau Nomic. L’incident a touché le collatéral d’Alloyed BTC, ou allBTC : ce token de l’écosystème Osmosis, qui combine plusieurs versions tokenisées de Bitcoin, a connu une pénurie d’environ 36 %.
L'équipe d'Osmosis a souligné que la plateforme elle-même et le protocole d'interconnexion IBC n'ont pas été piratés. La vulnérabilité a été trouvée dans la logique de traitement des transactions de Nomic, et non dans l'infrastructure d'échange décentralisée.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Comment l'attaque a affecté allBTC
Nomic permet d'utiliser Bitcoin sur d'autres blockchains via nBTC. Un tel jeton doit être entièrement soutenu par les bitcoins que les utilisateurs contribuent au pont. À cet égard, Osmosis agit comme un marché pour l'échange de ces actifs : nBTC est inclus dans allBTC avec d'autres versions tokenisées de la première crypto-monnaie, et ces actifs sont collectés dans un pool commun et échangés dans un rapport de 1:1.
Un bug dans Nomic permettait à un attaquant de dépenser du nBTC à plusieurs reprises et de transférer des jetons vers Osmosis sans réelle garantie. Ensuite, via allBTC, il les a échangés contre d'autres actifs sur le marché, où la liquidité du marché et la confiance dans les réserves sont importantes.
Pour l'écosystème Cosmos, un tel échec s'est avéré particulièrement sensible, puisque l'interaction Interchain repose sur un ensemble de réseaux, de ponts et de confiance dans chaque Blockchain individuelle. Dans de tels cas, même un seul point faible peut créer une pression sur l’ensemble de l’écosystème.
Le rôle d'Osmosis pour les utilisateurs de Cosmos dans ce modèle est d'échanger des actifs entre les réseaux connectés et d'accéder à des liquidités partagées. Mais plus il y a de ponts et de versions tokenisées d’un actif dans un tel système, plus la garantie vérifiable de chaque token est importante.
Ce que le chercheur de Rarma a découvert
Un chercheur anonyme de Rarma a déterminé que l'attaque principale a eu lieu le 25 juin. Selon lui, le pirate informatique a créé environ 40,65 nBTC et les a envoyés à Osmosis via 25 transferts inter-chaînes.
L'attaquant a échangé certains des jetons reçus contre des pièces stables USDC. Les fonds ont ensuite transité par les ponts Axelar et Noble jusqu'à Ethereum, où ils ont été convertis en éther. Au total, des actifs équivalant à environ 18 BTC ont ainsi été retirés.
Le pirate informatique a transféré les 22,65 nBTC restants à allBTC le 17 juillet et les a laissés à une adresse à Osmosis. Selon les calculs de Rarma, au moment de la vérification, il y avait environ 110,57 allBTC en circulation, alors que la garantie réelle était de 70,73 BTC. L'écart atteint environ 39,84 BTC.
Osmosis prépare un vote sur les fonds bloqués
L'équipe d'Osmosis a confirmé que la garantie allBTC comprenait 39,84 nBTC associés à l'attaque et non soutenus par un nombre correspondant de bitcoins. Après l'arrêt des opérations de Nomic, les développeurs, en collaboration avec les validateurs, ont effectué une mise à jour urgente du réseau et ont gelé les actifs à l'adresse de l'attaquant.
Les représentants de l'échange DeFi prévoient de soumettre au vote une proposition visant à retirer les fonds bloqués. Ils proposent de couvrir le déficit restant avec des bitcoins du fonds communautaire afin de redonner à allBTC sa pleine garantie.
Dans le contexte de l'incident, la stabilité des ponts, la qualité du protocole de communication et la transparence des réserves sont à nouveau mises en avant pour les acteurs de la finance décentralisée. Ceci est important à la fois pour les projets autour du SDK Cosmos et pour les utilisateurs qui évaluent les risques des opérations Interchain, détiennent OSMO ou prennent des décisions d'investissement dans l'infrastructure Osmosis Labs. Dans un tel environnement, même les termes familiers du marché comme Superfluidity et Paradigm ne remplacent pas l'exigence de base : chaque token émis doit avoir une garantie claire et vérifiable.
Contexte : le BTC gelé dans un autre litige
Auparavant, la société d'investissement Dominion Capital avait intenté une action en justice contre le prêteur de crypto BlockFills. La société l’a accusé de détournement et de rétention illégale d’actifs cryptographiques de clients d’une valeur d’environ 5 millions de dollars. Lors du procès, le tribunal du district sud de New York a gelé 70,6 BTC appartenant à BlockFills.
Voir l’article original en russe
