Exploit de doble gasto de nBTC en Nomic

El 9 de septiembre de 2026, Nomic —el puente de Bitcoin que acuña nBTC para los ecosistemas de Cosmos y Osmosis— reveló un exploit de doble gasto que dejó cerca del 36 % del Bitcoin aleado (allBTC) de Osmosis sin reservas, un déficit de respaldo valorado en unos 3,1 millones de dólares.

Qué ocurrió

El mecanismo de reenvío IBC propio de Nomic no verificaba la titularidad de la cuenta al procesar los depósitos de Bitcoin. Al encadenar dos fallos distintos, un atacante pudo gastar dos veces los nBTC y entregar comprobantes de transferencia falsos a Osmosis a través del protocolo de Comunicación Entre Cadenas (IBC). En total, el atacante acuñó 39,84 nBTC —unos 40,65 BTC de valor nominal— sin ningún Bitcoin detrás, por valor de unos 3,09 millones de dólares al precio de BTC de entonces, en torno a 77.700 dólares. Los tokens no válidos se habían creado antes y pasaron desapercibidos durante un periodo prolongado; la discrepancia solo salió a la luz después de que Nomic dejara de producir puntos de control de Bitcoin alrededor del 6 y 7 de septiembre. Osmosis publicó una declaración oficial a las 09:48 UTC del 9 de septiembre y congeló de inmediato los depósitos, retiros y canjes de allBTC.

Consecuencias

Una actualización de emergencia de la cadena puso en cuarentena 22,65 BTC vinculados a la dirección del atacante, dejando una brecha de unos 17 BTC para restaurar por completo el respaldo de allBTC. Osmosis subrayó que ni Osmosis ni el IBC quedaron comprometidos: el fallo residía por completo en la cadena de Nomic. No se había publicado un análisis forense completo a finales de septiembre de 2026 y, dado que los fondos en cuarentena cubren solo una parte del déficit, el estado aquí es partially-recovered.

Por qué importa

Los activos envueltos y "aleados" heredan las suposiciones de confianza de cada puente que los acuña: allBTC era tan sólido como la verificación más débil de Nomic. Al igual que en la acuñación de syBTC falso en Symbiosis de la misma semana y en el anterior exploit de mensaje CCTP falsificado en Allbridge, la lección recurrente es que un puente debe demostrar de forma independiente que existen garantías reales antes de acreditar una acuñación: un mensaje o comprobante que parezca válido no es prueba de fondos. Que el exploit permaneciera semanas sin detectarse también muestra lo endeble que puede ser la supervisión de la contabilidad de reservas entre cadenas.