Programvarefeil Utsletter Tredjedel av Bitcoin-fond
Midt i en tilsynelatende endeløs strøm av hacking, datainnbrudd, utnyttelser og feil, har en programvarefeil stille og rolig utslettet en tredjedel av backing-en til et bitcoin-fond, uten at det ble oppdaget i to måneder.
Feilen i Nomics
Ifølge den desentraliserte børsen (DEX) plattformen Osmosis, tillot en programvarefeil i Nomics tilpassede IBC videresendingsbane en angriper å lage ubekreftet nBTC og gjemme mesteparten av det inne i Osmosis sin Alloyed BTC-kurv. Det som høres nesten utrolig ut, men som er demonstrerbart sant, er at mintingen skjedde 25. juni og forble skjult i åpen sikt i 74 dager.
«Nylig ble vi klar over en utnyttelse på Nomic-kjeden. Utnyttelsen tillot angriperen å bruke nBTC to ganger, noe som gjorde at de kunne sende falske kuponger til Osmosis. Osmosis og IBC ble ikke kompromittert, da feilen var i en tilpasset videresendingsmekanisme på Nomic. 39,84 nBTC av den mintede totalen sitter innen Alloyed BTC, som representerer omtrent 36% av dens backing,»
avslørte Osmosis denne uken.
Rask Respons og Tiltak
Når problemet ble oppdaget, forklarte Osmosis på X at de raskt stengte ned innskudd og uttak som involverte Nomic og Alloyed BTC for å stoppe flere midler fra å flytte. Teamet jobbet deretter med validatorer på en nødoppdatering som låste 22,65 BTC som satt i angriperens lommebok.
«Vi vil foreslå å beslaglegge disse eiendelene til styringen og be styringen bruke opptjent BTC i fellesskapsfondet for å dekke den gjenværende saldoen og gjenopprette den fulle backing av Alloyed BTC,»
skrev teamet.
Forskning og Oppdagelse av Feilen
Den uavhengige forskeren kjent som Rarma gravde inn i koden og delte innsikter om hva som gikk galt på X. Enkelt sagt, Nomics system skapte ved en feil den samme bitcoin-deponeringen to ganger. Den første batchen ble håndtert normalt, men den andre ble ekstra nBTC som faktisk kunne brukes, bemerket forskerens innlegg.
Rarma fant at dette var den eneste av 18 lignende prosesser i filen som skapte myntene to ganger, og systemet verifiserte ikke engang hvem som kontrollerte kontoen som mottok dem. Å få det til kostet bare én satoshi, et ekstremt billig angrep, og Rarma skrev på den tiden at den feilaktige koden fortsatt lå uendret i Nomics utviklingsgren da han publiserte sine funn 8. september.
Konklusjon
Osmosis sikkerhetsoppdatering ble postet til X dagen etter. Til tross for BTC-backing-problemet teamet håndterer, gir hendelsen fortsatt en nyttig påminnelse om såkalte BTC-tokens mintet på andre kjeder, da deres backing kun er så pålitelig som den tilpassede koden som er ansvarlig for mintingen av kravet. Liquid-teamet kunngjorde at nettverket har gått inn i neste fase av sin kontrollerte gjenopptakelse etter en white-hat hacker.
