Osmosis, Nomic Köprüsünde 74 Gün Sonra Ortaya Çıkan 40,65 Bitcoin (BTC) Açığını Doğruladı

Osmosis'te Teminatsız Basılan 40,65 Bitcoin (BTC)

25 Haziran'da bir saldırgan, Nomic köprüsü üzerinde hiçbir teminat olmaksızın 40,650602 BTC değerinde wrapped Bitcoin — yani nBTC — basmayı başardı ve bu ihlal tam 74 gün boyunca fark edilmedi. Tespit ancak Nomic protokolünün durdurulması ve Osmosis'in varlıklarının bu vesileyle incelenmesiyle geldi. Cosmos altyapısı üzerine kurulu merkeziyetsiz borsa Osmosis, sonradan yüzde 36'sının teminatsız olduğu anlaşılan allBTC bileşik rezervine sahip bu platform olarak olayı 9 Eylül'de yaptığı açıklamayla doğruladı: saldırgan, iki ayrı hatayı birleştirerek nBTC üzerinde çifte harcama (double-spend) gerçekleştirmiş ve borsaya sahte makbuzlar iletmiş. Projenin olay sonrası raporuna göre Osmosis'in kendisi ve zincirler arası mesajlaşma katmanı IBC ele geçirilmedi; zaaf Nomic'in üzerindeki özel bir yönlendirme mekanizmasında yatıyordu. Zincir üstü kayıtlar, saldırganın o dönemde ele geçirdiği ganimetin yaklaşık 1 milyon dolarlık kısmını nakde çevirdiğini gösteriyor: 671 ETH'yi Tornado Cash'e Ethereum üzerinden gönderdi — bu akış, ilgili adresin herkese açık işlem geçmişinde görünür durumda. Kalan fonlar açısından durum borsa için daha şanslıydı: hatırı sayılır bir bölüm allBTC olarak duruyordu ve bu hafta başında acil bir ağ yükseltmesiyle donduruldu; saldırganın hesabındaki 22,65 allBTC kilitlendi. Nomic'in kendisi ise fiilen terk edilmiş görünüyor — projenin herkese açık deposuna son katkı iki yıl önce yapıldı ve projenin X hesabı 2024'ten beri sessiz. Şimdi Osmosis'in yönetişim forumunda bekleyen bir teklif, 40 BTC'lik açık tamamen kapatmak için dondurulmuş 22,65 allBTC'ye el koymayı, bekleyen bir USDC.noble likidite yeniden dağıtımını iptal etmeyi ve topluluk havuzundan (Community Pool) ek allBTC çekmeyi öngörüyor. Olay, Cosmos ekosisteminin yaygın kullanılan bir Cosmos EVM modülüne bağlanan ayrı bir açık dizisini sindirmeye çalıştığı bir döneme denk geldi; mağduru KiiChain bu açıklama zincirini alenen önlenebilir olarak nitelendirmişti.

Tek Başına Kazanılan 966351 Bloku

Güven sarsılmış köprülerin gölgesinde, Bitcoin'in temel katmanı iş kanıtı (proof-of-work) mutabakatının aslında nasıl işlediğine dair kendi dersini verdi. Tek başına madencilik yapan bir kişi, kullandığı madencilik donanımıyla 966351 numaralı bloku 10 Eylül 2026'da, Kore saatiyle 20:06:46'da (11:06:46 UTC) tamamen yalnız buldu ve 3,14728115 Bitcoin (BTC) tutarındaki blok ödülünün tamamını cebine koydu — blok gezginlerinin gösterdiği onay anında yaklaşık 243.316 dolar. Zincir üstü kayıt tartışmaya yer bırakmıyor: ödül, 2024'teki halving sonrası belirlenen 3,125 BTC'lik sübvansiyon ile dahil edilen 2.627 işlemden toplanan 0,02228115 BTC'lik işlem ücretlerinden oluşuyordu. Blok gezginleri madenciyi “Bilinmiyor” olarak listelerken, coinbase mesajı “ckpool /braiinssolo/” ifadesini taşıyor; bu, hash gücünün yönlendirildiği Braiins Solo servisini işaret ediyor, madencinin kimliğini, ekipmanını veya gücünü değil — bunlar açıklanmadı. Bu, yaklaşık 38 gün 9 saat aradan sonra gelen ilk solo başarıydı: önceki örnek 3 Ağustos'ta, 960804 numaralı blokta yaşanmış ve solo bir CK madencisi 3,15689830 BTC kazanmıştı. Ekonomi havuz madenciliğinden keskin biçimde farklı: havuzlarda katılımcılar ödülleri katkıda bulundukları hash gücü oranında paylaşır; solo kazanan hem sübvansiyonu hem ücretleri tek başına alır, ama blok bulana dek hiçbir şey kazanamaz. Herhangi bir bloğun dolar değeri BTC fiyatıyla birlikte dalgalandığı için zincir üzerindeki tek sabit rakam 3,14728115 BTC'nin kendisi — ve madencinin elektrik ile donanım maliyetleri açıklanmadığından bu kazanç net kâr olarak okunmamalı.

Tek Varlıkta İki Farklı Güven Modeli

Bu ikili tablo, temel zincirin ötesinde Bitcoin pozisyonu tutan herkes için öğretici. Bitcoin DeFi (BTCfi) bağlamında solo blok ödülü ne bir saklayıcı gerektirdi ne köprü ne de bir açıklama takvimi — defterin kendisi denetim niteliğinde ve 38 günlük boşluk, olasılıksal bir piyangonun sadece varyansı. Nomic açığı ise ayna görüntüsü: teminatı bakımsız koda bağlı kalmış bir wrapped varlık, 74 günlük tespit gecikmesi ve yönetişimin şimdi onarmak için oy kullanması gereken bir açık. Olay sonrası raporu ve zincir üstü Tornado Cash akışını okuyuşumuz şudur: şeffaflık olaydan sonra işledi — 671 ETH'lik iz ve dondurulan 22,65 allBTC tam da zincirlerin herkese açık olması nedeniyle takip edilebilir durumda — ama tespit ancak protokol durduğunda geldi. Köprü protokolü tasarımlarının ve wrapped varlık modellerinin çoğaldığı bu ortamda, denetlenmemiş yönlendirme mekanizmaları birikimi sektörün sessiz bilanço riski olmaya devam ediyor.