Por Canuto  

Un atacante acuñó 39,84 BTC en nBTC mediante un doble gasto en Nomic, mientras Osmosis tardó 74 días en identificar que sus reservas estaban comprometidas. El caso dejó a allBTC respaldado apenas en 36% y abrió un debate sobre la supervisión y la respuesta ante incidentes en el ecosistema Cosmos.
***

  • El exploit permitió crear 39,84 BTC en nBTC sin respaldo y enviarlos a Osmosis.
  • Osmosis congeló 22,65 allBTC vinculados al atacante, que representaban cerca de USD $1,8 millones.
  • La propuesta de recuperación contempla usar activos congelados, cancelar una reimplementación de liquidez y extraer fondos del Community Pool.

Un exploit en la cadena Nomic permitió acuñar 39,84 BTC en nBTC sin que existiera BTC detrás, y el incidente terminó afectando las reservas de allBTC en Osmosis. El exchange descentralizado tardó 74 días en detectar el problema, según la investigación publicada por Protos, mientras ningún proyecto basado en Cosmos habría descubierto o comunicado la pérdida durante ese período. El caso salió a la luz después de que Nomic detuviera su protocolo y Osmosis iniciara una revisión de sus reservas.

El atacante combinó dos errores independientes para construir una transacción capaz de generar nBTC falsos y enviarlos a Osmosis. La plataforma explicó que el problema no comprometió ni a Osmosis ni al protocolo de comunicación entre cadenas IBC, sino a un mecanismo de reenvío personalizado dentro de Nomic. Esa distinción resulta relevante porque el fallo se originó en la forma en que Nomic procesaba los activos, aunque sus efectos económicos alcanzaron a otro protocolo del ecosistema.

El doble gasto que alteró las reservas

Los nBTC funcionan como una representación de BTC dentro del entorno de Nomic, por lo que su valor depende de que exista un respaldo correspondiente. Cuando el atacante ejecutó un doble gasto, pudo presentar vales falsos como si fueran activos legítimos y transferirlos a Osmosis, donde posteriormente se reflejaron como allBTC. La operación convirtió una falla técnica localizada en un déficit concreto dentro de las reservas que respaldaban ese activo.

Osmosis señaló que el atacante acuñó 39,84 BTC en nBTC el 25 de junio. La consecuencia fue que allBTC quedó respaldado solo en un 36%, una proporción que evidenció la diferencia entre los tokens registrados en el protocolo y los BTC realmente disponibles para sostenerlos. La plataforma no detectó la anomalía hasta 74 días después, cuando la interrupción de Nomic activó una revisión de los fondos relacionados.

Una parte importante del botín permaneció en forma de allBTC dentro de la cuenta asociada con el atacante. Osmosis congeló 22,65 allBTC mediante una actualización de emergencia a comienzos de la semana, una medida destinada a impedir que esos activos siguieran circulando o fueran retirados del protocolo. El congelamiento redujo el monto que debía cubrirse, pero no eliminó el déficit generado por los tokens falsos.

La respuesta de Osmosis y el estado de Nomic

En una publicación difundida el 9 de septiembre de 2026, Osmosis informó que había conocido recientemente el exploit en Nomic y describió la operación como un doble gasto de nBTC. El proyecto sostuvo que sus propios sistemas y IBC no fueron comprometidos, porque el error estaba en el mecanismo de reenvío personalizado de Nomic. La explicación buscó delimitar la responsabilidad técnica, aunque el impacto financiero recayó sobre los activos negociados y respaldados en Osmosis.

El protocolo presentó además una propuesta en su foro de gobernanza para cubrir el déficit de aproximadamente 40 BTC que quedó en el respaldo de allBTC. El plan contempla incautar los 22,65 allBTC congelados en la cuenta del atacante, cancelar una reimplementación de liquidez pendiente de USDC.noble y extraer allBTC adicional de un Community Pool. La propuesta todavía representa una estrategia de recuperación y no una restitución automática de los fondos afectados.

La situación de Nomic añadió una preocupación de mantenimiento al incidente de seguridad. La cuenta del proyecto hizo su última publicación en 2024 y su repositorio de GitHub registró su último commit hace dos años, señales que sugieren una actividad limitada, aunque por sí solas no permiten establecer el estado operativo completo del protocolo. Para los usuarios, esa falta de actividad visible complica evaluar quién supervisa los componentes críticos y cómo se respondería ante nuevos errores.

El retraso de 74 días también plantea dudas sobre los controles de monitoreo entre cadenas. Un sistema que representa BTC mediante un token sintético necesita comprobar continuamente la correspondencia entre los activos emitidos y las reservas disponibles, especialmente cuando recibe depósitos desde un puente. En este caso, la diferencia permaneció sin una divulgación pública durante más de dos meses, hasta que una detención del protocolo obligó a revisar la relación entre nBTC, allBTC y los fondos subyacentes.

Un nuevo episodio para el ecosistema Cosmos

Osmosis y Nomic forman parte del amplio ecosistema Cosmos, una red de proyectos que utiliza herramientas compartidas y conexiones entre cadenas para mover activos y operar aplicaciones descentralizadas. Esa arquitectura puede ampliar la utilidad de los tokens, pero también hace que una vulnerabilidad en un componente específico tenga consecuencias en otros protocolos. El caso de nBTC ilustra cómo una falla en una cadena puede alterar las reservas de un exchange descentralizado sin que el protocolo receptor haya sido vulnerado directamente.

El incidente ocurrió mientras el ecosistema enfrentaba otra serie de problemas derivados de un error no relacionado en un módulo de Cosmos EVM ampliamente utilizado. En ese episodio, los desarrolladores de Cosmos Labs recibieron críticas por la manera en que divulgaron la vulnerabilidad y coordinaron la información con los equipos afectados. La comparación no implica que ambos errores tengan el mismo origen, pero sí coloca nuevamente la seguridad y la comunicación de incidentes en el centro del debate.

Uno de los proyectos afectados por aquella vulnerabilidad, KiiChain, calificó su pérdida de evitable y cuestionó que se publicara una corrección crítica antes de avisar a los equipos que debían proteger sus redes. Según el proyecto, difundir el cambio de seguridad antes de coordinar una respuesta podía entregar la vulnerabilidad a cualquiera que leyera el commit. El episodio refuerza la importancia de establecer canales de aviso, plazos de corrección y criterios claros para informar al público.

En el caso de Nomic, la demora plantea una pregunta adicional: cuánto tiempo puede permanecer sin detectar un desequilibrio en un activo que pretende representar BTC dentro de otra cadena. La falta de una divulgación temprana impidió que usuarios y protocolos evaluaran el riesgo mientras el déficit seguía activo, aunque los datos disponibles no permiten atribuir intenciones a los equipos involucrados. La recuperación propuesta por Osmosis deberá pasar por su proceso de gobernanza y definir quién absorbe finalmente la pérdida.

El exploit deja una lección operativa para los mercados de activos entre cadenas: la seguridad no termina en el protocolo que recibe un token, sino que depende de toda la ruta de emisión, custodia, mensajería y canje. Mientras la gobernanza de Osmosis decide cómo cubrir el déficit, la congelación de los activos restantes y la trazabilidad de los fondos serán piezas centrales para medir el alcance final del incidente. La ausencia de una respuesta pública de Nomic durante el período señalado mantiene abierta la preocupación sobre la supervisión del puente.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados