Osmosis 延迟74天后才发现40 BTC的Nomic漏洞利用

6月25日，一名黑客从Nomic创建了超过40 BTC的nBTC，且没有任何资产支持。Osmosis后来发现其allBTC有36%缺乏抵押，花了74天才发现这一事件。

在这74天里，两个Cosmos项目似乎都没有发现或报告这一损失。直到Nomic协议被暂停后，该漏洞才被揭露，促使Osmosis检查其资产。

Nomic似乎并未处于活跃开发状态；其X账户自2024年以来未发布任何内容，其GitHub仓库的最新提交也已是两年前。

最近，我们得知了Nomic链上的一起漏洞利用。该漏洞使攻击者能够双花nBTC，从而将虚假凭证发送到Osmosis。Osmosis和IBC并未遭到入侵，因为漏洞出在Nomic的一个自定义转发机制中。

39.84 nBTC…
— Osmosis (@osmosis) 2026年9月9日

攻击者利用两个不同的缺陷创建了一笔交易，该交易“在Osmosis上铸造了40.650602 BTC的nBTC，而背后没有任何BTC支持。”

对Osmosis来说幸运的是，攻击者并未转移大部分资金，这些资金仍以allBTC形式存在，并于本周通过“紧急升级”被冻结。

攻击者当时仍兑换了约100万美元的被盗资产，通过以太坊向Tornado Cash发送了671 ETH。

Osmosis治理论坛上的一篇帖子概述了弥补allBTC储备中40 BTC缺口的计划。除了没收攻击者钱包中被冻结的22.65 allBTC外，该提案还呼吁取消一笔“待定的流动性重新部署”的USDC.noble，并从社区池中提取额外的allBTC。

Cosmos生态系统中的披露延迟

Osmosis（一个去中心化交易所）和Nomic（一座桥）都属于Cosmos生态系统。该生态系统最近经历了一系列与流行的Cosmos EVM模块中一个单独缺陷相关的事件。

尽管响应时间比nBTC案例快得多，但Cosmos Labs在披露该漏洞的方式上仍面临批评。

受影响项目之一KiiChain称其损失“本可避免”，并表示在未事先通知受影响团队的情况下发布关键安全补丁，实质上“将漏洞拱手交给了任何阅读该提交的人”。