Діра на третину фонду: як Osmosis і Nomic проґавили критичний баг
Уявіть собі: ви спокійно займаєтеся своїми справами, поки у вашому сейфі непомітно зникає третина грошей. І найдивовижніше — ніхто цього не помічає протягом майже двох з половиною місяців. Саме такий гостросюжетний сценарій розігрався у світі DeFi, де популярна криптовалюта та технологія блокчейн знову пройшли суворе випробування на міцність.
Децентралізована біржа Osmosis зіткнулася з неприємним сюрпризом. Через помилку в коді проекту Nomic зловмисник зміг випустити незабезпечені токени nBTC і сховати їх у загальному пулі Alloyed BTC. Результат? У забезпеченні фонду утворилася діра розміром 36%, а це майже 40 неіснуючих біткоїнів, які просто «намалювали» з повітря.
Як баг за 1 сатоші зламав систему?
Детальна аналітика інциденту показує, що проблема крилася не в самому Osmosis чи протоколі IBC, а в кастомному механізмі пересилання транзакцій від Nomic. Незалежний дослідник під ніком Rarma розібрав цей кейс по поличках. Виявилося, система випадково обробила один і той самий депозит двічі. Перша транзакція пройшла як треба, а от друга створила додаткові nBTC, які хакер спокійнісінько вивів.
Найдивніше те, що ця атака коштувала зловмиснику всього 1 сатоші — мізерну частку цента. Наш огляд коду підтверджує: система навіть не перевіряла, хто саме контролює рахунок отримувача. Поки звичайні користувачі торгували на біржах на кшталт Binance або виводили активи на свої гаманці MetaMask чи Trust Wallet, діра в пулі залишалася непоміченою цілих 74 дні.
Рятувальна операція від Osmosis
Коли проблему нарешті виявили, команда Osmosis зреагувала миттєво. Вони заблокували всі операції з nBTC та Alloyed BTC, щоб зупинити відтік коштів. Разом із валідаторами розробники випустили екстрене оновлення, яке дозволило «заморозити» 22.65 BTC на гаманці нападника.
Тепер команда планує вирішити проблему через голосування спільноти (governance):
- Конфіскувати заморожені 22.65 BTC у хакера.
- Використати накопичені біткоїни з громадського пулу (Community Pool), щоб покрити решту збитків.
- Повністю відновити 100% забезпечення Alloyed BTC.
Головний урок: пам’ятайте про ризики
Ця історія вкотре нагадує, що будь-які інвестиції у крипту та DeFi-протоколи несуть у собі високі ризики. Обернені (wrapped) токени на сторонніх блокчейнах дуже зручні, але їхня надійність повністю залежить від безпеки смарт-контрактів. Жоден пасивний заробіток не може бути гарантованим на 100%. Наша редакція лише обозреває інструменти, тому завжди проводьте власне дослідження (DYOR) перед тим, як довіряти свої кошти децентралізованим пулам.
Проекти, згадані в огляді
| Проект | Посилання |
|---|---|
| Osmosis: Децентралізована біржа (DEX) в екосистемі Cosmos, яка постраждала через незабезпечені nBTC. | Перейти |
| Nomic: Децентралізований міст, який дозволяє переносити Bitcoin у мережі на базі Cosmos. | Перейти |
| Binance: Одна з найбільших криптобірж у світі для торгівлі та безпечного зберігання активів. | Перейти |