Un error de un solo satoshi acaba de provocar un agujero de 3 millones de dólares en el fondo de bitcoins de Osmosis

Un atacante encontró una vulnerabilidad en el código del puente de Nomic, acuñó bitcoins que no existían y los transfirió a Osmosis. Nadie se dio cuenta durante 74 días.

Osmosis comunicó el 9 de septiembre que su activo de bitcoin agrupado, Alloyed BTC, había estado funcionando con aproximadamente un tercio de sus reservas desaparecidas desde finales de junio. La vulnerabilidad se debía a un error en el código de reenvío de transacciones de Nomic, que permitió a un atacante realizar un doble gasto de nBTC —el token de Nomic vinculado al bitcoin— e introducir vales de depósito falsos en el sistema de Osmosis como si estuvieran respaldados por BTC reales.

«Recientemente, nos hemos dado cuenta de una vulnerabilidad en la cadena de Nomic», escribió la plataforma de intercambio en X. «La vulnerabilidad permitió al atacante realizar un doble gasto de nBTC, lo que le permitió enviar vales falsos a Osmosis. Ni Osmosis ni IBC se vieron comprometidos, ya que el error se encontraba en un mecanismo de reenvío personalizado de Nomic».

Esta última parte es importante. Nomic es una cadena lateral de bitcoin basada en Cosmos, y se supone que el nBTC debe encontrarse en el fondo «Alloyed BTC» de Osmosis en una proporción clara de uno a uno con el bitcoin real, junto con otras versiones «wrapped» como WBTC y cbBTC. El fallo no se encontraba en los propios contratos de Osmosis ni en el protocolo de comunicación entre blockchains que conecta las cadenas de Cosmos, sino que residía específicamente en la forma en que Nomic gestionaba los depósitos de bitcoin entrantes.

¿A qué precio se produjo?

Realmente barato. Según el investigador independiente conocido como Rarma, que publicó un seguimiento de la transacción y un análisis detallado del código en X antes de que Osmosis lo revelara, el fallo permitía a Nomic registrar dos veces el mismo depósito de bitcoin. Una copia se procesó con normalidad. La segunda se convirtió en nBTC gratuito, acuñable sin ningún bitcoin que lo respaldara. Rarma lo encontró en solo una de las dieciocho rutinas de gestión de depósitos casi idénticas del código fuente, y al parecer al atacante le costó un solo satoshi activarlo.

La propia explotación se remonta al 25 de junio, y no a septiembre, cuando Osmosis salió a bolsa. A lo largo de unas 25 transferencias entre cadenas, el atacante transfirió cerca de 40 nBTC a Osmosis. Se trata de una sangría lenta que permaneció a la vista de todos durante dos meses y medio, no de un golpe rápido y contundente.

Cuánto costó realmente

Las cifras varían ligeramente dependiendo de quién las calcule y del precio del bitcoin que se utilice en cada momento. Osmosis situó la cantidad sin respaldo en 39,84 nBTC, cerca del 36% del respaldo total de Alloyed BTC —un déficit estimado en unos 3,15 millones de dólares—. Osmosis congeló 22,65 BTC que aún se encontraban en la dirección del atacante mediante una actualización de emergencia del validador, por un valor de entre 1,8 y 1,9 millones de dólares, dependiendo de la instantánea. Esto deja un déficit de aproximadamente 17 BTC —o una cifra de unos pocos millones— que los fondos congelados no cubren. Ninguno de los artículos que he leído concilia completamente estas cifras, y Osmosis aún no ha publicado un desglose contable detallado, por lo que hay que considerar el total exacto en dólares como una estimación orientativa y no como una cifra definitiva.

Osmosis ha suspendido la emisión, los reembolsos y los nuevos depósitos relacionados con Nomic mientras resuelve este asunto. La negociación de activos respaldados por bitcoin en los fondos existentes sigue activa, aunque con una advertencia sobre el elevado riesgo. Ahora se está solicitando al órgano de gobernanza que apruebe la incautación de los 22,65 BTC congelados, junto con una aportación adicional del fondo comunitario, para que Alloyed BTC recupere su respaldo total.

Lo que debería preocupar más a la gente que la cifra en dólares

Los puentes sufren ataques constantemente: Ronin perdió 600 millones de dólares, Nomad perdió 190 millones, el puente Horizon de Harmony perdió 100 millones, y esa es solo la lista de los casos más sonados de los últimos años. Tres millones de dólares apenas se notan al lado de esas cifras. Lo más preocupante aquí es el lapso de 74 días. Una vulnerabilidad permaneció en el código de producción, fue explotada en pequeñas tandas y ni el equipo de Nomic ni el sistema de monitorización de Osmosis la detectaron hasta que un investigador externo se puso a buscarla.

Según se informa, Rarma encontró la lógica defectuosa aún sin corregir en la rama de desarrollo de Nomic el 8 de septiembre, el día antes de la declaración pública de Osmosis. Aún no se ha confirmado públicamente si ya se ha solucionado. La propia cuenta de Nomic no había publicado ninguna revelación al respecto en el momento de redactar este artículo, lo cual es revelador en sí mismo: en el caso de un exploit que afecta a tu puente, en tu cadena, el silencio se interpreta como desorganización o como una falta de voluntad para asumir la responsabilidad del fallo antes de que el análisis posterior esté listo.

No creo que esto, por sí solo, acabe con la confianza en la infraestructura de puentes de Cosmos. Pero el «mecanismo de reenvío personalizado» ocupa un lugar destacado en esa declaración de Osmosis, y conviene recordar que el código personalizado de cada proyecto de puente es precisamente donde suelen esconderse estos errores: no en las partes estandarizadas y sometidas a rigurosas auditorías de la pila, sino en el código de enlace a medida al que nadie somete a pruebas de estrés tan intensas.