Un Difetto Software nel Mondo delle Criptovalute
In un contesto caratterizzato da un flusso incessante di hack, violazioni di dati, exploit e bug, un difetto software ha silenziosamente annullato un terzo del supporto di un fondo Bitcoin, rimanendo inosservato per ben due mesi.
Il Problema di Nomic e Osmosis
Secondo la piattaforma di scambio decentralizzato (DEX) Osmosis, un errore nel percorso di inoltro IBC personalizzato di Nomic ha consentito a un attaccante di coniare nBTC non supportati e di nascondere la maggior parte di essi all’interno del paniere Alloyed BTC di Osmosis. Ciò che appare quasi incredibile, ma è dimostrabilmente vero, è che il conio è avvenuto il 25 giugno ed è rimasto nascosto in bella vista per 74 giorni.
“Recentemente, siamo diventati consapevoli di un exploit sulla catena Nomic. L’exploit ha permesso all’attaccante di spendere due volte nBTC, consentendo loro di inviare voucher falsi a Osmosis. Osmosis e IBC non sono stati compromessi, poiché il bug era in un meccanismo di inoltro personalizzato su Nomic. 39,84 nBTC del totale coniato si trova all’interno di Alloyed BTC, rappresentando circa il 36% del suo supporto,” ha rivelato Osmosis questa settimana.
Le Misure di Sicurezza di Osmosis
Una volta scoperto il problema, Osmosis ha comunicato su X di aver rapidamente bloccato depositi e prelievi riguardanti Nomic e Alloyed BTC per fermare ulteriori movimenti di fondi. Il team ha poi collaborato con i validatori per un aggiornamento di emergenza che ha bloccato 22,65 BTC presenti nel portafoglio dell’attaccante.
“Proporremo di sequestrare questi asset alla governance e chiederemo alla governance di utilizzare i BTC accumulati nel pool della comunità per coprire il saldo rimanente e ripristinare il pieno supporto di Alloyed BTC,” ha scritto il team.
Analisi del Ricercatore Rarma
Il ricercatore indipendente noto come Rarma ha esaminato il codice e ha condiviso intuizioni su cosa sia andato storto su X. In termini semplici, il sistema di Nomic ha accidentalmente creato lo stesso deposito Bitcoin due volte. Il primo lotto è stato gestito normalmente, ma il secondo è diventato nBTC extra che poteva effettivamente essere speso, ha notato il post di Rarma su X.
Rarma ha scoperto che questo era l’unico dei 18 processi simili nel file che ha creato le monete due volte, e il sistema non ha nemmeno verificato chi controllasse l’account che le riceveva. Realizzarlo è costato solo un satoshi, un attacco estremamente economico, e Rarma ha scritto all’epoca che il codice difettoso era ancora presente senza modifiche nel ramo di sviluppo di Nomic quando ha pubblicato le sue scoperte l’8 settembre.
Conclusioni e Riflessioni Finali
L’aggiornamento di sicurezza di Osmosis è stato pubblicato su X il giorno successivo. Nonostante il problema del supporto BTC con cui il team sta affrontando, l’incidente offre comunque un utile promemoria sui cosiddetti token BTC coniati su altre catene, poiché il loro supporto è solo affidabile quanto il codice personalizzato responsabile del conio della rivendicazione.
Il team di Liquid ha annunciato che la rete è entrata nella fase successiva della sua ripresa controllata dopo un attacco da parte di un hacker etico.
