ノミックチェーンでエクスプロイト発生
ノミック（Nomic）チェーンでエクスプロイトが発生したことが、分散型取引所（DEX）「オズモシス（Osmosis）」公式Xアカウントより9月9日に発表された。このエクスプロイトにより、攻撃者はnBTCを二重使用し、偽のバウチャーをオズモシスへ送信できる状態になったとのこと。
ノミックとオズモシスは、複数の独立したブロックチェーンが相互接続するコスモス（Cosmos）エコシステムに属するブロックチェーンだ。コスモスでは、それぞれのブロックチェーンが独自のネットワークとして運営されながら、ブロックチェーン間通信プロトコル「IBC（Inter-Blockchain Communication）」などを通じて資産やデータを相互に移転できる。
このうちノミックは、ビットコイン（BTC）の分散型ブリッジを提供するブロックチェーンだ。ノミックではBTCに1対1で裏付けられたトークン「nBTC」が発行されており、IBCを通じてオズモシスなどの対応チェーンへ移転できる。一方、オズモシスはDEXを中心とするブロックチェーンで、ユーザーはノミックのnBTCなどを同チェーン上で利用できる。
またオズモシスでは、複数のBTC関連資産をまとめて扱う「アロイドBTC（Alloyed BTC）」が提供されており、nBTCもその裏付け資産の一つとなっている。これにより、異なる形でオズモシスに持ち込まれたBTC関連資産を、統一されたBTC資産として扱える。
オズモシス公式Xアカウントでは、原因となったバグはノミック独自のカスタム転送メカニズムに存在していたと説明されている。オズモシスとIBC自体は侵害されていないとのこと。
また、アロイドBTCには今回のエクスプロイトに関連する39.84 nBTCが含まれており、同資産の裏付けの約36%を占めていた。
問題の発覚後、オズモシスのモデレーション・サブDAO（Moderation subDAO）は、オズモシス上でノミックおよびアロイドBTCへの資産の流入と流出を凍結した。また同サブDAOはバリデーターとともに緊急アップグレードを実施し、攻撃者のアドレスにある22.65 BTCを凍結したとのこと。
オズモシス公式Xでは、「今後は凍結した22.65 BTCの差し押さえがガバナンスに提案される予定」と説明されている。また、コミュニティプールに蓄積されたBTCで残りの不足分を補い、アロイドBTCの完全な裏付けを回復することについても、ガバナンスに承認が求められる。
なおコスモスエコシステムでは今年8月、「コスモスEVM（Cosmos EVM）」の脆弱性を悪用した攻撃が6つのネットワークで発生した。コスモスEVMは、コスモスSDKで構築された複数のブロックチェーンで利用される共通ソフトウェアだ。一方、ノミックはコスモスSDKではなく、独自のブロックチェーン開発スタック「オルガ（Orga）」を使用して構築されている。現時点で今回のエクスプロイトと同脆弱性との関連性は示されていない。
Recently, we became aware of an exploit on the Nomic chain. The exploit allowed the attacker to double-spend nBTC, allowing them to send false vouchers to Osmosis. Osmosis and IBC were not compromised, as the bug was in a custom forwarding mechanism on Nomic.
— Osmosis 🧪 (@osmosis) September 9, 2026
39.84 nBTC of the…
画像：PIXTA