Pagkakaroon ng Depekto sa Software
Sa gitna ng tila walang katapusang daloy ng mga hack, paglabag sa data, pagsasamantala, at mga bug, isang depekto sa software ang tahimik na nagtanggal ng isang-katlo ng suporta ng isang Bitcoin fund, at sa hindi inaasahang paraan, hindi ito napansin sa loob ng dalawang buwan. Ayon sa decentralized exchange (DEX) platform na Osmosis, isang depekto sa software sa pasadyang IBC forwarding path ng Nomic ang nagbigay-daan sa isang umaatake na makagawa ng unbacked nBTC at itago ang karamihan nito sa Alloyed BTC basket ng Osmosis. Ano ang tila hindi kapani-paniwala, ngunit tiyak na totoo, ay ang minting na naganap noong Hunyo 25 at nanatiling nakatago sa harap ng lahat sa loob ng 74 na araw.
Pagsasamantala at Pagtuklas
“Kamakailan, nalaman namin ang isang pagsasamantala sa Nomic chain. Ang pagsasamantalang ito ay nagbigay-daan sa umaatake na mag-double-spend ng nBTC, na nagpapahintulot sa kanila na magpadala ng mga pekeng voucher sa Osmosis. Ang Osmosis at IBC ay hindi naapektuhan, dahil ang bug ay nasa isang pasadyang forwarding mechanism sa Nomic. 39.84 nBTC ng kabuuang minted ay nasa Alloyed BTC, na kumakatawan sa ~36% ng suporta nito,” ibinunyag ng Osmosis ngayong linggo.
Nang matuklasan ang problema, ipinaliwanag ng Osmosis sa X na agad nilang pinatigil ang mga deposito at withdrawals na may kinalaman sa Nomic at Alloyed BTC upang maiwasan ang anumang karagdagang paglipat ng pondo. Ang koponan ay nakipagtulungan sa mga validator para sa isang emergency update na nag-lock ng 22.65 BTC na nasa wallet ng umaatake. “Magmumungkahi kami na ang mga asset na ito ay kunin ng pamahalaan at hihilingin sa pamahalaan na gamitin ang naipon na BTC sa community pool upang masakop ang natitirang balanse at maibalik ang buong suporta ng Alloyed BTC,” isinulat ng koponan.
Pag-aaral ng Independiyenteng Mananaliksik
Ang independiyenteng mananaliksik na kilala bilang Rarma ay sumisid sa code at ibinahagi ang mga pananaw kung ano ang nagkamali sa X. Sa simpleng salita, aksidenteng nilikha ng sistema ng Nomic ang parehong deposito ng Bitcoin nang dalawang beses. Ang unang batch ay naasikaso nang normal, ngunit ang pangalawa ay naging dagdag na nBTC na talagang magagamit, ayon sa post ng mananaliksik sa X.
Natatagpuan ni Rarma na ito ang tanging isa sa 18 katulad na proseso sa file na lumikha ng mga barya nang dalawang beses, at ang sistema ay hindi man lang nag-verify kung sino ang may kontrol sa account na tumatanggap ng mga ito. Ang pagkuha nito ay nagkakahalaga lamang ng isang satoshi, isang napakamurang atake, at isinulat ni Rarma sa oras na ang depektibong code ay nananatiling hindi nagbabago sa development branch ng Nomic nang ilathala niya ang kanyang mga natuklasan noong Setyembre 8. Ang update sa seguridad ng Osmosis ay naipost sa X sa susunod na araw.
Mga Paalala at Susunod na Hakbang
Sa kabila ng problema sa suporta ng BTC na hinaharap ng koponan, ang insidente ay nagbibigay pa rin ng kapaki-pakinabang na paalala tungkol sa tinatawag na mga BTC token na minted sa ibang mga chain, dahil ang kanilang suporta ay kasing maaasahan lamang ng pasadyang code na responsable para sa pagmint ng claim. Inanunsyo ng Liquid team na ang network ay pumasok na sa susunod na yugto ng kontroladong pag-restart pagkatapos ng isang white-hat hacker.
