Osmosis 延遲 74 天才發現 40 BTC 的 Nomic 漏洞利用

6 月 25 日，一名駭客從 Nomic 建立了超過 40 BTC 的 nBTC，且沒有任何資產支持。Osmosis 後來發現其 allBTC 有 36% 缺乏抵押，花了 74 天才發現這一事件。

在這 74 天裡，兩個 Cosmos 項目似乎都沒有發現或報告這一損失。直到 Nomic 協議被暫停後，該漏洞才被揭露，促使 Osmosis 檢查其資產。

Nomic 似乎並未處於活躍開發狀態；其 X 帳戶自 2024 年以來未發布任何內容，其 GitHub 儲存庫的最新提交也已是兩年前。

最近，我們得知了 Nomic 鏈上的一起漏洞利用。該漏洞使攻擊者能夠雙花 nBTC，從而將虛假憑證發送到 Osmosis。Osmosis 和 IBC 並未遭到入侵，因為漏洞出在 Nomic 的一個自定義轉發機制中。

39.84 nBTC…
— Osmosis (@osmosis) 2026 年 9 月 9 日

攻擊者利用兩個不同的缺陷創建了一筆交易，該交易「在 Osmosis 上鑄造了 40.650602 BTC 的 nBTC，而背後沒有任何 BTC 支持」。

對 Osmosis 來說幸運的是，攻擊者並未轉移大部分資金，這些資金仍以 allBTC 形式存在，並於本週透過「緊急升級」被凍結。

攻擊者當時仍兌換了約 100 萬美元的被盜資產，透過以太坊向 Tornado Cash 發送了 671 ETH。

Osmosis 治理論壇上的一篇帖子概述了彌補 allBTC 儲備中 40 BTC 缺口的計畫。除了沒收攻擊者錢包中被凍結的 22.65 allBTC 外，該提案還呼籲取消一筆「待定的流動性重新部署」的 USDC.noble，並從社區池中提取額外的 allBTC。

Cosmos 生態系統中的披露延遲

Osmosis（一個去中心化交易所）和 Nomic（一座橋）都屬於 Cosmos 生態系統。該生態系統最近經歷了一系列與流行的 Cosmos EVM 模組中一個單獨缺陷相關的事件。

儘管回應時間比 nBTC 案例快得多，但 Cosmos Labs 在披露該漏洞的方式上仍面臨批評。

受影響項目之一 KiiChain 稱其損失「本可避免」，並表示在未事先通知受影響團隊的情況下發布關鍵安全修補程式，實質上「將漏洞拱手交給了任何閱讀該提交的人」。