Editör: Enver Adıgüzel
Merkeziyetsiz borsa Osmosis bünyesindeki Alloyed BTC sepetinde, Nomic köprüsündeki bir yazılım açığı yüzünden 25 Haziran tarihinde karşılıksız token basıldığı ve bu durumun 74 gün boyunca fark edilmediği ortaya çıktı. Nomic üzerindeki özel aktarım mekanizmasında meydana gelen aksaklık sonucunda saldırgan sisteme sahte teminat kuponları iletti ve basılan 39,84 nBTC sepetin toplam teminat miktarında yaklaşık yüzde 36 oranında bir açık meydana getirdi.
Osmosis varlıkları dondurdu
Açığın tespit edilmesinin ardından Osmosis, Nomic ve Alloyed BTC varlıklarını kapsayan para yatırma ve çekme işlemlerini derhal askıya aldı. Saldırganın cüzdanında 22,65 BTC kilitlendi. Osmosis ekibi, kilit altına alınan bu miktara el konulması ve kalan teminat açığının topluluk havuzunda biriken rezervlerle kapatılması amacıyla yönetişim sürecine resmi bir teklif sunacağını duyurdu.
Saldırgan sahte kuponlar kullandı. Platform geliştiricileri, Osmosis ağının ya da genel IBC protokolünün doğrudan bir güvenlik ihlaline uğramadığını, sorunun yalnızca Nomic tarafındaki özel yönlendirme mekanizmasından kaynaklandığını açıkladı.
Kod hatası çifte basıma yol açtı
Güvenlik araştırmacısı Rarma tarafından yapılan teknik incelemeye göre, Nomic sistemindeki bir hata aynı bitcoin yatırma işlemini iki kez işledi. İlk işlem olağan biçimde kaydedilirken, ikinci işlem piyasada harcanabilir nitelikte karşılıksız nBTC üretti. İlgili dosyada bulunan 18 benzer işlem süreci arasında yalnızca bu rutinin çifte basıma yol açtığı ve sistemin alıcı hesabın kime ait olduğunu dahi doğrulamadığı tespit edildi.
Saldırının maliyeti bir satoshi oldu. Rarma, söz konusu hatalı kod bloklarının bulgularını paylaştığı 8 Eylül tarihine kadar Nomic geliştirme dalında değişmeden kaldığını aktarırken Osmosis güvenlik duyurusu bu paylaşımın ertesi günü geldi. Bu arada saat 21:45 ölçümlerinde borsa tarafında Binance vadeli işlemlerindeki açık pozisyon 107.291 BTC seviyesinde kaydedildi.
Kaynak: Osmosis
