Yhden satoshin arvoinen ohjelmointivirhe aiheutti juuri 3 miljoonan dollarin tappion Osmosisin Bitcoin-rahastoon

Hyökkääjä löysi aukon Nomicin bridge-koodista, loi olemattomia bitcoineja ja siirsi ne Osmosis-alustalle. Kukaan ei huomannut asiaa 74 päivään.

Osmosis ilmoitti 9. syyskuuta, että sen yhdistetyistä bitcoin-varoista koostuvasta Alloyed BTC -varallisuudesta oli puuttunut noin kolmasosa varannoista jo kesäkuun lopusta lähtien. Hyökkäys johtui virheestä Nomicin transaktioiden välityskoodissa, jonka ansiosta hyökkääjä pystyi käyttämään nBTC:tä – Nomicin bitcoiniin sidottua tokenia – kahteen kertaan ja syöttämään Osmosis-järjestelmään väärennettyjä talletustodistuksia ikään kuin ne olisivat todellisen BTC:n takaamia.

”Saimme äskettäin tietää Nomic-ketjussa tapahtuneesta haavoittuvuuden hyödyntämisestä”, pörssi kirjoitti X:ssä. ”Hyökkääjä pystyi hyödyntämään haavoittuvuutta kaksinkertaistamaan nBTC:n käytön, minkä ansiosta hän pystyi lähettämään vääriä talletustodistuksia Osmosisille. Osmosis ja IBC eivät vaarantuneet, sillä virhe oli Nomicin mukautetussa välitysmekanismissa.”

Tämä viimeinen seikka on tärkeä. Nomic on Cosmos-pohjainen bitcoin-sivuketju, ja nBTC:n on tarkoitus sijaita Osmoisin Alloyed BTC -poolissa puhtaassa yksi-yhteen-suhteessa aitoon bitcoiniin, muiden käärittyjen versioiden, kuten WBTC:n ja cbBTC:n, rinnalla. Virhe ei ollut Osmosiksen omissa sopimuksissa tai Cosmos-ketjuja yhdistävässä Inter-Blockchain Communication -protokollassa – se liittyi nimenomaan siihen, miten Nomic käsitteli saapuvia bitcoin-talletuksia.

Kuinka halpaa se oli

Todella halpaa. Rarma-nimisen riippumattoman tutkijan mukaan, joka julkaisi transaktioseurannan ja koodikatsauksen X:ssä ennen kuin Osmosis itse julkisti asian, virhe antoi Nomicille mahdollisuuden rekisteröidä sama bitcoin-talletus kahdesti. Toinen kopio käsiteltiin normaalisti. Toisesta tuli ilmaista nBTC:tä, jota voitiin lyödä ilman taustalla olevaa bitcoinia. Rarma löysi virheen vain yhdestä kahdeksastatoista lähes identtisestä talletusten käsittelyrutiinista koodipohjassa, ja koko operaation käynnistäminen maksoi hyökkääjälle ilmeisesti yhden satoshin.

Itse hyväksikäyttö juontaa juurensa 25. kesäkuuta – ei syyskuuhun, jolloin Osmosis tuli julkisuuteen. Noin 25 ketjujen välisen siirron aikana hyökkääjä siirsi lähes 40 nBTC:tä Osmosikseen. Kyseessä on hidas vuoto, joka piileskeli kaikkien silmien alla kahden ja puolen kuukauden ajan, ei mikään pikaryöstö.

Mitä se tosiasiassa maksoi

Luvut vaihtelevat hieman riippuen siitä, kuka laskee ja mitä bitcoin-hintaa sillä hetkellä käytetään. Osmosis arvioi vakuudettoman summan olevan 39,84 nBTC, mikä on lähes 36% Alloyed BTC:n kokonaisvakuudesta – raportoidun vajeen suuruus on noin 3,15 miljoonaa dollaria. Osmosis jäädytti hätävalidaattoripäivityksen avulla 22,65 BTC:tä, jotka olivat edelleen hyökkääjän osoitteessa; niiden arvo on noin 1,8–1,9 miljoonaa dollaria riippuen tilannekuvasta. Tämä jättää noin 17 BTC:n vajeen, eli summan, joka on muutaman miljoonan luokkaa, jota jäädytetyt varat eivät kata. Mikään lukemistani artikkeleista ei täsmää näitä lukuja täysin, eikä Osmosis ole vielä julkaissut rivi riviltä -laskelmaa, joten tarkkaa dollarisummaa kannattaa pitää suuntaa-antavana eikä lopullisena.

Osmosis on keskeyttänyt uusien kolikoiden lyönnin, lunastukset ja uudet Nomic-talletukset, kunnes tilanne on selvitetty. Bitcoinilla taattujen varojen kauppa olemassa olevissa pooleissa on edelleen käynnissä, mutta siihen liittyy varoitus kohonneesta riskistä. Hallintoa pyydetään nyt hyväksymään jäädytettyjen 22,65 BTC:n takavarikointi sekä lisärahoitus yhteisön poolista, jotta Alloyed BTC:n täysi vakuutus saadaan palautettua.

Se osa, jonka pitäisi huolestuttaa ihmisiä enemmän kuin dollarin summa

Siltoja hakkeroidaan jatkuvasti – Ronin menetti 600 miljoonaa dollaria, Nomad 190 miljoonaa dollaria, Harmonyn Horizon-silta 100 miljoonaa dollaria, ja tämä on vain viime vuosien suurimpien menetyksien lista. Kolme miljoonaa dollaria on näiden rinnalla melkein mitätön summa. Vielä huolestuttavampaa tässä on 74 päivän viive. Tuotantokoodissa oli puute, jota hyödynnettiin pienissä erissä, eikä sen havainnut Nomicin tiimi eikä Osmosiksen valvonta, ennen kuin ulkopuolinen tutkija alkoi etsiä sitä.

Rarma löysi tiettävästi virheellisen logiikan, jota ei ollut vielä korjattu, Nomicin kehityshaarasta 8. syyskuuta, eli päivää ennen Osmoisin julkista lausuntoa. Ei ole julkisesti vahvistettu, onko vika nyt korjattu. Nomicin oma tili ei ollut tämän kirjoituksen laatimishetkellä julkaissut vastaavaa ilmoitusta, mikä on sinänsä paljastava seikka – kun kyseessä on haavoittuvuus, joka liittyy omaan siltaasi omalla ketjullasi, hiljaisuus tulkitaan joko epäjärjestyksestä tai haluttomuudesta ottaa vastuu epäonnistumisesta ennen kuin jälkianalyysi on valmis.

En usko, että tämä yksinään romuttaa luottamusta Cosmosin sillainfrastruktuuriin. Mutta ”räätälöity välitysmekanismi” on vahvasti esillä tuossa Osmosisin lausunnossa, ja on syytä muistaa, että jokaisen sillaprojektin räätälöity koodi on juuri se paikka, jossa nämä virheet yleensä piilevät – ei standardoiduissa, tiukasti auditoiduissa osissa järjestelmää, vaan räätälöidyssä liimakoodissa, jota kukaan ei testaa yhtä kovasti.