- Atacante conseguiu gastar duas vezes o mesmo nBTC via bug em ponte da Nomic
- 39,84 nBTC falsos chegaram ao Alloyed BTC, comprometendo 36% do lastro do ativo
- Osmosis congelou 22,65 BTC do endereço atacante e vai levar confisco à governança
A Osmosis confirmou nesta terça-feira (9) que a rede Nomic, responsável por trazer Bitcoin nativo para o ecossistema Cosmos, sofreu um exploit que resultou na cunhagem indevida de nBTC e comprometeu parte do lastro do Alloyed BTC, ativo agregador de versões tokenizadas de Bitcoin dentro da DEX. O anúncio oficial foi feito pela equipe em publicação no X.
Segundo a Osmosis, a falha permitiu ao atacante executar um double-spend de nBTC, o Bitcoin embrulhado emitido pela Nomic. Com a brecha, foi possível enviar vouchers falsos para a Osmosis via IBC, o protocolo de comunicação entre blockchains do Cosmos. A equipe fez questão de separar responsabilidades: nem o núcleo da Osmosis nem o IBC foram comprometidos. O bug estava em um mecanismo customizado de forwarding mantido pela própria Nomic.
39,84 nBTC fraudados atingem lastro do Alloyed BTC
Do total cunhado pelo atacante, 39,84 nBTC acabaram dentro do Alloyed BTC, produto da Osmosis que combina diferentes representações wrapped de Bitcoin em um único token. Esse volume equivale a cerca de 36% do lastro do ativo. Em valores de mercado, com o BTC cotado a US$ 79.076 nesta terça, o rombo bruto beira US$ 3,15 milhões — ou aproximadamente R$ 16,1 milhões pela taxa atual do dólar.
Ao identificar o problema, as moderation subDAOs da Osmosis congelaram entradas e saídas envolvendo Nomic e Alloyed BTC. Um upgrade emergencial, coordenado com validadores, travou 22,65 BTC na carteira do atacante antes que os fundos pudessem escapar para outras redes ou serviços de mixagem.
A equipe pretende submeter à governança uma proposta para confiscar formalmente esses 22,65 BTC. O saldo remanescente — cerca de 17,19 BTC — seria coberto por Bitcoin acumulado no community pool, fundo comunitário mantido em BTC pela própria Osmosis. Se aprovada, a operação restauraria integralmente o lastro do Alloyed BTC, evitando prejuízo direto a quem detém o token.
Segundo caso de Bitcoin wrapped atacado em poucos dias
O incidente na Nomic se soma a uma sequência recente de ataques contra pontes e representações tokenizadas de Bitcoin. Há poucos dias, a Liquid Network, sidechain da Blockstream, teve 4.000 BTC roubados em um exploit que expôs uma vulnerabilidade em contrato multisig. Parte dos fundos foi devolvida pelos atacantes após negociação pública com a equipe.
O padrão se repete: sempre que uma infraestrutura tenta transportar Bitcoin para fora da sua rede nativa, a superfície de ataque aumenta. Pontes cross-chain acumulam alguns dos maiores prejuízos históricos do setor cripto, com casos como Ronin (US$ 625 milhões), Wormhole (US$ 320 milhões) e Nomad (US$ 190 milhões) servindo de referência.
A estratégia da Osmosis — congelar fundos via ação coordenada de validadores e submeter a decisão à governança — segue linha parecida com a adotada recentemente pela Cronos, que reverteu duas horas de blocos para desfazer um roubo de US$ 111 milhões. São medidas eficazes em blockchains com validadores concentrados, mas que reacendem o debate sobre imutabilidade e descentralização.
A Osmosis ainda não divulgou prazo para a votação da proposta na governança nem detalhes técnicos completos sobre o bug no mecanismo de forwarding da Nomic. Um relatório post-mortem foi prometido pela equipe da Nomic nas próximas horas.
