Osmosis phát hiện vụ khai thác 40 BTC trên Nomic sau 74 ngày chậm trễ

Vào ngày 25 tháng 6, một hacker đã tạo ra hơn 40 BTC dưới dạng nBTC từ Nomic mà không có tài sản thế chấp. Osmosis, sau đó phát hiện allBTC của mình thiếu 36% tài sản đảm bảo, đã mất 74 ngày để phát hiện sự cố.

Trong suốt 74 ngày đó, không có dự án Cosmos nào dường như phát hiện hoặc báo cáo khoản lỗ. Vụ khai thác chỉ được tiết lộ sau khi giao thức Nomic bị tạm dừng, khiến Osmosis kiểm tra tài sản của mình.

Nomic dường như không được phát triển tích cực; tài khoản X của nó không đăng bài kể từ năm 2024 và lần commit gần nhất trên kho GitHub của nó đã cách đây hai năm.

Gần đây, chúng tôi biết được một vụ khai thác trên chuỗi Nomic. Vụ khai thác cho phép kẻ tấn công chi tiêu gấp đôi (double-spend) nBTC, cho phép chúng gửi chứng từ giả đến Osmosis. Osmosis và IBC không bị xâm phạm, vì lỗi nằm ở cơ chế chuyển tiếp tùy chỉnh trên Nomic.

39.84 nBTC của…
— Osmosis (@osmosis) ngày 9 tháng 9 năm 2026

Kẻ tấn công đã sử dụng hai lỗi khác nhau để tạo một giao dịch 'đúc 40.650602 BTC dưới dạng nBTC trên Osmosis mà không có BTC hỗ trợ đằng sau.'

May mắn cho Osmosis, kẻ tấn công đã không di chuyển phần lớn số tiền, vốn vẫn ở dạng allBTC và đã bị đóng băng trong tuần này thông qua một 'nâng cấp khẩn cấp.'

Kẻ tấn công vẫn chuyển đổi khoảng 1 triệu đô la tài sản bị đánh cắp tại thời điểm đó, gửi 671 ETH đến Tornado Cash qua Ethereum.

Một bài đăng trên diễn đàn quản trị Osmosis vạch ra kế hoạch bù đắp khoảng trống 40 BTC trong dự trữ allBTC. Ngoài việc tịch thu 22.65 allBTC bị đóng băng trong ví của kẻ tấn công, đề xuất còn kêu gọi hủy bỏ 'triển khai lại thanh khoản đang chờ xử lý' của USDC.noble và lấy thêm allBTC từ Community Pool.

Sự chậm trễ tiết lộ trong hệ sinh thái Cosmos

Osmosis, một sàn giao dịch phi tập trung, và Nomic, một cầu nối, đều thuộc hệ sinh thái Cosmos. Hệ sinh thái đó gần đây đã trải qua một loạt sự cố liên quan đến một lỗi riêng biệt trong một mô-đun Cosmos EVM phổ biến.

Mặc dù thời gian phản hồi nhanh hơn nhiều so với trường hợp nBTC, Cosmos Labs vẫn phải đối mặt với chỉ trích về cách tiết lộ lỗi.

KiiChain, một trong những dự án bị ảnh hưởng, gọi khoản lỗ của mình là 'có thể tránh được,' nói rằng việc phát hành bản vá bảo mật quan trọng mà không thông báo trước cho các nhóm bị ảnh hưởng về cơ bản là 'trao lỗ hổng cho bất kỳ ai đọc commit đó.'