Exploit de double dépense de nBTC sur Nomic

Le 9 septembre 2026, Nomic — le pont Bitcoin qui frappe le nBTC pour les écosystèmes Cosmos et Osmosis — a révélé un exploit de double dépense qui a laissé environ 36 % du Bitcoin allié (allBTC) d'Osmosis sans réserves, un déficit d'adossement d'une valeur d'environ 3,1 millions de dollars.

Ce qui s'est passé

Le mécanisme de transfert IBC propre à Nomic ne vérifiait pas la propriété du compte lors du traitement des dépôts de Bitcoin. En enchaînant deux failles distinctes, un attaquant a pu dépenser deux fois des nBTC et remettre à Osmosis de faux justificatifs de transfert via le protocole de communication inter-chaînes (IBC). Au total, l'attaquant a frappé 39,84 nBTC — soit environ 40,65 BTC de valeur nominale — sans aucun Bitcoin en contrepartie, pour une valeur d'environ 3,09 millions de dollars au cours du BTC de l'époque, autour de 77 700 dollars. Les jetons non valides avaient été créés plus tôt et sont passés inaperçus pendant une période prolongée ; l'écart n'a été mis au jour qu'après que Nomic a cessé de produire des points de contrôle Bitcoin autour des 6 et 7 septembre. Osmosis a publié une déclaration officielle à 09h48 UTC le 9 septembre et a immédiatement gelé les dépôts, retraits et rachats d'allBTC.

Conséquences

Une mise à niveau d'urgence de la chaîne a mis en quarantaine 22,65 BTC liés à l'adresse de l'attaquant, laissant un écart d'environ 17 BTC pour rétablir pleinement l'adossement d'allBTC. Osmosis a souligné que ni Osmosis lui-même ni l'IBC n'avaient été compromis — la faille résidait entièrement dans la chaîne Nomic. Aucun post-mortem complet n'avait été publié fin septembre 2026 et, comme les fonds mis en quarantaine ne couvrent qu'une partie du déficit, le statut ici est partially-recovered.

Pourquoi c'est important

Les actifs enveloppés et « alliés » héritent des hypothèses de confiance de chaque pont qui les frappe : allBTC n'était aussi solide que la vérification la plus faible de Nomic. Comme pour la frappe de faux syBTC sur Symbiosis de la même semaine et l'exploit de message CCTP falsifié sur Allbridge, la leçon récurrente est qu'un pont doit prouver de façon indépendante que de vraies garanties existent avant de créditer une frappe — un message ou un justificatif d'apparence valide n'est pas une preuve de fonds. Que l'exploit soit resté indétecté pendant des semaines montre aussi combien la surveillance de la comptabilité des réserves inter-chaînes peut être ténue.