Ein „One-Satoshi“-Fehler hat gerade ein 3-Millionen-Dollar-Loch in den Bitcoin-Fonds von Osmosis gerissen

Ein Angreifer entdeckte eine Schwachstelle im Bridge-Code von Nomic, schuf nicht existierende Bitcoins und transferierte diese auf Osmosis. 74 Tage lang bemerkte niemand etwas davon.

Osmosis teilte am 9. September mit, dass bei seinem gepoolten Bitcoin-Asset „Alloyed BTC“ seit Ende Juni etwa ein Drittel der Reserven fehlte. Der Angriff beruhte auf einem Fehler im Transaktionsweiterleitungscode von Nomic, der es einem Angreifer ermöglichte, nBTC – den an Bitcoin gekoppelten Token von Nomic – doppelt auszugeben und gefälschte Einzahlungsbelege in das System von Osmosis einzuspielen, als wären diese durch echte BTC gedeckt.

„Vor kurzem wurden wir auf einen Exploit in der Nomic-Chain aufmerksam“, schrieb die Börse auf X. „Der Exploit ermöglichte es dem Angreifer, nBTC doppelt auszugeben und dadurch gefälschte Einzahlungsbelege an Osmosis zu senden. Osmosis und IBC waren nicht betroffen, da der Fehler in einem benutzerdefinierten Weiterleitungsmechanismus bei Nomic lag.“

Dieser letzte Punkt ist wichtig. Nomic ist eine auf Cosmos basierende Bitcoin-Sidechain, und nBTC soll im „Alloyed BTC“-Pool von Osmosis in einem sauberen 1:1-Verhältnis zu echtem Bitcoin liegen, neben anderen „Wrapped“-Versionen wie WBTC und cbBTC. Der Fehler lag nicht in den eigenen Smart Contracts von Osmosis oder im Inter-Blockchain-Communication-Protokoll, das Cosmos-Chains miteinander verbindet – er lag speziell in der Art und Weise, wie Nomic eingehende Bitcoin-Einzahlungen verarbeitete.

Wie günstig war das?

Wirklich günstig. Laut dem unabhängigen Forscher namens Rarma, der auf X eine Transaktionsaufzeichnung und eine Code-Analyse veröffentlichte, noch bevor Osmosis selbst die Schwachstelle bekanntgab, ermöglichte der Fehler es Nomic, dieselbe Bitcoin-Einzahlung zweimal zu verbuchen. Eine Kopie wurde normal verarbeitet. Die zweite wurde zu kostenlosem nBTC, das ohne jegliche Bitcoin-Deckung geprägt werden konnte. Rarma fand den Fehler in nur einer von achtzehn nahezu identischen Routinen zur Einzahlungsabwicklung im Quellcode, und das Auslösen des gesamten Vorgangs kostete den Angreifer offenbar einen Satoshi.

Die Ausnutzung selbst lässt sich bis zum 25. Juni zurückverfolgen – nicht bis September, als Osmosis an die Öffentlichkeit ging. Über rund 25 kettenübergreifende Transfers transferierte der Angreifer fast 40 nBTC auf Osmosis. Das ist ein langsamer Geldabfluss, der zweieinhalb Monate lang offen sichtbar war, kein „Smash-and-Grab“-Angriff.

Was es tatsächlich gekostet hat

Die Zahlen variieren hier ein wenig, je nachdem, wer sie berechnet und welchen Bitcoin-Kurs man gerade zugrunde legt. Osmosis bezifferte den nicht gedeckten Betrag auf 39,84 nBTC, was fast 36% der gesamten Deckung von Alloyed BTC entspricht – ein Fehlbetrag von rund 3,15 Millionen US-Dollar. Osmosis hat 22,65 BTC, die sich noch immer auf der Adresse des Angreifers befanden, durch ein Notfall-Validator-Upgrade eingefroren; deren Wert liegt je nach Snapshot zwischen 1,8 und 1,9 Millionen US-Dollar. Damit bleibt eine Lücke von etwa 17 BTC – oder ein Betrag im niedrigen einstelligen Millionenbereich –, die durch die eingefrorenen Mittel nicht gedeckt ist. Keiner der Berichte, die ich gesehen habe, stimmt diese Zahlen vollständig ab, und Osmosis hat noch keine detaillierte Aufstellung veröffentlicht; betrachten Sie den genauen Dollarbetrag daher eher als richtungsweisend denn als endgültig.

Osmosis hat die Ausgabe, Rücknahmen und neue Einzahlungen im Zusammenhang mit Nomic vorübergehend ausgesetzt, während das Problem geklärt wird. Der Handel mit Bitcoin-gedeckten Vermögenswerten in bestehenden Pools läuft weiterhin, allerdings mit einem Warnhinweis auf ein erhöhtes Risiko. Die Governance wird nun gebeten, die Beschlagnahmung der eingefrorenen 22,65 BTC sowie eine Aufstockung aus dem Community-Pool zu genehmigen, um die vollständige Deckung von Alloyed BTC wiederherzustellen.

Was die Leute mehr beunruhigen sollte als die Dollarbeträge

Brücken werden ständig gehackt – Ronin verlor 600 Millionen Dollar, Nomad verlor 190 Millionen Dollar, die Horizon-Brücke von Harmony verlor 100 Millionen Dollar, und das ist nur die Liste der größten Vorfälle der letzten Jahre. Drei Millionen Dollar fallen im Vergleich dazu kaum ins Gewicht. Was hier noch beunruhigender ist, ist die 74-tägige Lücke. Ein Fehler befand sich im Produktionscode, wurde in kleinen Schritten ausgenutzt, und weder das Team von Nomic noch die Überwachung von Osmosis haben ihn entdeckt, bis ein externer Forscher danach suchte.

Rarma soll die fehlerhafte Logik Berichten zufolge am 8. September, dem Tag vor der öffentlichen Stellungnahme von Osmosis, noch immer ungepatcht in Nomics Entwicklungszweig gefunden haben. Ob dieser Fehler inzwischen behoben wurde, wurde öffentlich nicht bestätigt. Nomics eigener Account hatte zum Zeitpunkt der Erstellung dieses Artikels noch keine entsprechende Offenlegung veröffentlicht, was an sich schon vielsagend ist – bei einem Exploit, der die eigene Bridge in der eigenen Chain betrifft, lässt Schweigen entweder auf Desorganisation oder auf die Unwilligkeit schließen, die Verantwortung für den Fehler zu übernehmen, bevor die Nachanalyse fertig ist.

Ich glaube nicht, dass dies allein das Vertrauen in die Cosmos-Brückeninfrastruktur zerstört. Aber der „benutzerdefinierte Weiterleitungsmechanismus“ spielt in dieser Erklärung von Osmosis eine große Rolle, und man sollte bedenken, dass genau der benutzerdefinierte Code jedes Bridge-Projekts der Ort ist, an dem diese Fehler in der Regel zu finden sind – nicht in den standardisierten, intensiv geprüften Teilen des Stacks, sondern in dem maßgeschneiderten „Glue-Code“, den niemand so gründlich einem Stresstest unterzieht.