Un bug d'un satoshi vient de creuser un trou de 3 millions de dollars dans le fonds Bitcoin d'Osmosis

Un pirate a découvert une faille dans le code du pont de Nomic, a créé des bitcoins qui n'existaient pas et les a transférés vers Osmosis. Personne ne s'en est aperçu pendant 74 jours.

Osmosis a déclaré le 9 septembre que son actif Bitcoin mutualisé, Alloyed BTC, fonctionnait avec environ un tiers de ses réserves manquantes depuis fin juin. L'exploitation de cette faille s'explique par un bug dans le code de transfert des transactions de Nomic, qui a permis à un pirate de procéder à une double dépense de nBTC — le token de Nomic indexé sur le bitcoin — et d'introduire de faux bons de dépôt dans le système d'Osmosis, comme s'ils étaient adossés à de véritables BTC.

« Nous avons récemment pris connaissance d’une faille sur la chaîne Nomic », a écrit la plateforme d’échange sur X. « Cette faille a permis à l’attaquant de procéder à une double dépense de nBTC, ce qui lui a permis d’envoyer de faux justificatifs à Osmosis. Osmosis et l’IBC n’ont pas été compromis, car le bug se trouvait dans un mécanisme de transfert personnalisé sur Nomic. »

Ce dernier point est important. Nomic est une sidechain Bitcoin basée sur Cosmos, et le nBTC est censé figurer dans le pool « Alloyed BTC » d’Osmosis selon un rapport parfait de un pour un avec le Bitcoin réel, aux côtés d’autres versions « wrapped » telles que le WBTC et le cbBTC. Le bug ne se trouvait pas dans les contrats d’Osmosis ni dans le protocole de communication inter-blockchains (Inter-Blockchain Communication) qui relie les chaînes Cosmos entre elles — il résidait spécifiquement dans la manière dont Nomic traitait les dépôts de bitcoins entrants.

À quel point était-ce bon marché?

Vraiment peu coûteux. Selon le chercheur indépendant connu sous le nom de Rarma, qui a publié une trace de transaction et une analyse du code sur X avant même que la divulgation d’Osmosis ne soit rendue publique, la faille permettait à Nomic d’enregistrer deux fois le même dépôt de bitcoins. Une copie était traitée normalement. La seconde se transformait en nBTC gratuit, pouvant être émis sans être adossé à aucun Bitcoin. Rarma l’a découverte dans une seule des dix-huit routines de traitement des dépôts quasi identiques présentes dans le code source, et l’exploiter n’aurait apparemment coûté qu’un satoshi à l’attaquant.

L’exploitation elle-même remonte au 25 juin — et non à septembre, date à laquelle Osmosis a rendu l’affaire publique. Au cours d’environ 25 transferts inter-chaînes, l’attaquant a transféré près de 40 nBTC vers Osmosis. Il s’agit d’une hémorragie lente, restée à la vue de tous pendant deux mois et demi, et non d’un coup de force éclair.

Ce que cela a réellement coûté

Les chiffres varient légèrement selon la source et le cours du bitcoin utilisé à ce moment-là. Osmosis a estimé le montant non couvert à 39,84 nBTC, soit près de 36% de la couverture totale d’Alloyed BTC — un déficit estimé à environ 3,15 millions de dollars. Osmosis a gelé 22,65 BTC qui se trouvaient toujours à l’adresse de l’attaquant grâce à une mise à jour d’urgence du validateur, d’une valeur comprise entre 1,8 et 1,9 million de dollars selon le moment de la capture. Il reste donc un écart d’environ 17 BTC, soit un montant de l’ordre de quelques millions, que les fonds gelés ne couvrent pas. Aucun des articles que j’ai consultés ne permet de concilier entièrement ces chiffres, et Osmosis n’a pas encore publié de comptabilité détaillée ligne par ligne; il convient donc de considérer le montant total en dollars comme une estimation approximative plutôt que comme un chiffre définitif.

Osmosis a suspendu l’émission, les rachats et les nouveaux dépôts liés à Nomic le temps de régler ce problème. Le trading d’actifs adossés au bitcoin dans les pools existants est toujours actif, avec un avertissement concernant un risque élevé. Il est désormais demandé à l’instance de gouvernance d’approuver la saisie des 22,65 BTC gelés, ainsi qu’un apport complémentaire provenant du pool communautaire, afin de rétablir la couverture intégrale d’Alloyed BTC.

Ce qui devrait inquiéter davantage que le montant en dollars

Les ponts sont constamment piratés: Ronin a perdu 600 millions de dollars, Nomad 190 millions, le pont Horizon d’Harmony 100 millions, et ce n’est là que la liste des cas les plus marquants de ces dernières années. Trois millions de dollars ne représentent presque rien à côté de ces montants. Ce qui est le plus inquiétant ici, c’est ce délai de 74 jours. Une faille était présente dans le code de production, a été exploitée par petits lots, et ni l’équipe de Nomic ni le système de surveillance d’Osmosis ne l’ont détectée jusqu’à ce qu’un chercheur externe se penche sur la question.

Rarma aurait découvert que la logique défectueuse n’avait toujours pas été corrigée dans la branche de développement de Nomic au 8 septembre, soit la veille de la déclaration publique d’Osmosis. Il n’a pas été confirmé publiquement si ce problème avait entre-temps été résolu. Au moment où nous écrivons ces lignes, le compte officiel de Nomic n’avait pas publié de communiqué correspondant, ce qui en dit long: pour une faille impliquant votre pont, sur votre chaîne, le silence peut être interprété soit comme un manque d’organisation, soit comme une réticence à assumer l’échec avant que l’analyse rétrospective ne soit prête.

Je ne pense pas que cela suffise à ébranler la confiance dans l’infrastructure de ponts de Cosmos. Mais l’expression « mécanisme de transfert personnalisé » revient souvent dans cette déclaration d’Osmosis, et il convient de rappeler que c’est précisément dans le code personnalisé de chaque projet de pont que ces bogues ont tendance à se cacher — non pas dans les parties standardisées et rigoureusement auditées de la pile, mais dans le code de liaison sur mesure que personne ne soumet à des tests de résistance aussi poussés.