Эксплойт Nomic позволил дважды потратить nBTC: Osmosis заморозила 22,65 BTC

В сети Nomic обнаружили уязвимость, которая позволила атакующему дважды использовать одни и те же токены nBTC (двойное расходование) и отправить фальшивые ваучеры на децентрализованную биржу Osmosis.

Osmosis и протокол IBC взломаны не были — ошибка находилась в кастомном механизме перенаправления транзакций на стороне Nomic. Об этом биржа сообщила 9 сентября 2026 года.

Злоумышленник ввёл в систему 39,84 nBTC, которые составили около 36% всего резерва Alloyed BTC, оставив токен частично необеспеченным. Сама Osmosis уточнила, что под угрозой оказалось именно обеспечение Alloyed BTC — обёрнутого биткоина, используемого в пулах ликвидности.

Как замораживали средства

После выявления проблемы Osmosis остановила входящие и исходящие транзакции для Nomic и Alloyed BTC. Минтинг, погашение, ввод и вывод Alloyed BTC также приостановлены. По данным исследователя под псевдонимом Rarma, Nomic остановлен ещё 7 сентября.

Вместе с валидаторами команда провела экстренное обновление, благодаря которому удалось заморозить 22,65 BTC на адресе злоумышленника. Osmosis планирует вынести на голосование сообщества предложение о конфискации замороженных активов. Кроме того, команда попросит governance использовать накопленные биткоины из пула сообщества, чтобы покрыть оставшийся дефицит и полностью восстановить обеспечение Alloyed BTC.

Куда ушли средства

Rarma опубликовал разбор операций: по его данным, основная атака произошла 25 июня, злоумышленник создал около 40,65 nBTC и отправил их на Osmosis через 25 межсетевых переводов. Часть полученных токенов он обменял на WBTC и USDC, а через мосты Axelar и Noble вывел в Ethereum, где конвертировал в ETH и отправил в Tornado Cash.

Всего злоумышленник обменял и вывел активы на сумму около 18 BTC. Оставшиеся 22,65 nBTC он 17 июля конвертировал в allBTC и сохранил на адресе в Osmosis, утверждает исследователь. На момент публикации разбора в обращении находилось около 110,57 allBTC при реальном обеспечении на 70,73 BTC.

Проверить адрес атакующего по санкционным и скам-спискам можно через сервис проверки кошельков.

Это не первый инцидент с мостами за последнее время: ранее из Liquid Network вывели около 4000 BTC на $320 млн ≈ 970 млн BYN из-за вероятной ошибки в Elements, однако позже вероятные «этичные хакеры» вернули большую часть средств.