Nomic-nBTC-Double-Spend-Exploit

Am 9. September 2026 legte Nomic – die Bitcoin-Bridge, die nBTC für die Cosmos- und Osmosis-Ökosysteme prägt – einen Double-Spend-Exploit offen, der rund 36 % des Alloyed Bitcoin (allBTC) von Osmosis ohne Reserven zurückließ, ein Deckungsdefizit im Wert von etwa 3,1 Millionen US-Dollar.

Was geschah

Nomics eigener IBC-Weiterleitungsmechanismus prüfte beim Verarbeiten von Bitcoin-Einzahlungen nicht die Eigentümerschaft des Kontos. Durch die Verkettung zweier separater Fehler konnte ein Angreifer nBTC doppelt ausgeben und über das Inter-Blockchain-Communication-Protokoll gefälschte Transfer-Voucher an Osmosis liefern. Insgesamt prägte der Angreifer 39,84 nBTC – rund 40,65 BTC an Nennwert – ohne jegliche Bitcoin-Deckung, im Wert von etwa 3,09 Millionen US-Dollar beim damaligen BTC-Kurs von rund 77.700 US-Dollar. Die ungültigen Token waren bereits früher erzeugt worden und blieben über einen längeren Zeitraum unentdeckt; die Diskrepanz trat erst zutage, nachdem Nomic um den 6.–7. September herum keine Bitcoin-Checkpoints mehr produzierte. Osmosis veröffentlichte am 9. September um 09:48 UTC eine offizielle Erklärung und fror Einzahlungen, Auszahlungen und Rücknahmen von allBTC sofort ein.

Nachwirkungen

Ein Not-Upgrade der Chain stellte 22,65 BTC unter Quarantäne, die mit der Adresse des Angreifers verknüpft waren, wodurch eine Lücke von rund 17 BTC verblieb, um die Deckung von allBTC vollständig wiederherzustellen. Osmosis betonte, dass weder Osmosis selbst noch IBC kompromittiert wurden – der Fehler lag ausschließlich in der Nomic-Chain. Ein vollständiges Post-mortem war bis Ende September 2026 nicht veröffentlicht, und da die unter Quarantäne gestellten Mittel nur einen Teil des Defizits abdecken, lautet der Status hier partially-recovered.

Warum es wichtig ist

Wrapped- und „Alloyed"-Assets erben die Vertrauensannahmen jeder Bridge, die sie prägt: allBTC war nur so solide wie Nomics schwächste Prüfung. Wie beim Symbiosis-Fake-syBTC-Mint derselben Woche und dem früheren Allbridge-Exploit mit gefälschter CCTP-Nachricht lautet die wiederkehrende Lehre, dass eine Bridge unabhängig nachweisen muss, dass echte Sicherheiten existieren, bevor sie eine Prägung gutschreibt – eine gültig aussehende Nachricht oder ein Voucher ist kein Nachweis für Mittel. Dass der Exploit wochenlang unbemerkt blieb, zeigt zudem, wie dünn die Überwachung der Cross-Chain-Reservenbuchhaltung sein kann.