Osmosis披露40.65枚比特币(BTC)Nomic桥漏洞,74天后才被发现

40.65枚比特币(BTC)在Osmosis体系内被无抵押增发

6月25日,一名攻击者在Nomic桥上无任何底层抵押的情况下,凭空铸造了价值40.650602 BTC的 wrapped Bitcoin(wrapped Bitcoin)——即nBTC。这一漏洞在长达74天的时间里无人察觉,直到Nomic协议停摆,才触发对Osmosis持仓的排查。Osmosis是基于Cosmos的去中心化交易所,其allBTC综合储备后来被证实有36%处于无抵押状态。该团队在9月9日的声明中确认了此次事件,指出攻击者利用了两个独立漏洞对nBTC实施双花,并向交易所提交了虚假凭证。根据项目方的复盘报告,Osmosis本身和IBC跨链消息层均未被攻破,问题出在Nomic上的一个自定义转发机制。链上轨迹显示,攻击者当时通过以太坊将671 ETH打入Tornado Cash,套现了约100万美元的赃款——这笔资金流向在该地址的公开交易记录中清晰可见。剩余赃款的结局对交易所而言算是万幸:相当大一部分以allBTC形式原封未动,并在本周早些时候通过一次紧急升级被冻结,攻击者账户中的22.65枚allBTC就此锁死。至于Nomic本身,实际上已被放弃——其公开代码仓库的最后一次提交停留在两年前,项目的X账号最后更新也是在2024年。目前Osmosis治理论坛上有一项提案,计划通过三步操作补齐40枚BTC的缺口:没收被冻结的22.65枚allBTC、取消一笔待执行的USDC.noble流动性再部署,并从社区金库提取额外allBTC。值得注意的是,这一事件正值Cosmos生态消化与一个被广泛使用的Cosmos EVM模块相关的连环攻击——受害者KiiChain曾公开将这次披露称为本可避免。

独行矿工独自挖出966351区块

在跨链桥信任被击穿的背景下,比特币基础层以自己的方式提醒市场:工作量证明(proof-of-work)的结算究竟是如何运作的。2026年9月10日韩国时间晚8点06分46秒(UTC 11点06分46秒),一名运行solo mining设备的个人矿工完全依靠自己找到了966351区块,独享3.14728115枚比特币(BTC)的完整区块奖励——按区块浏览器显示的确认时点价格计算,约合243,316美元。链上记录清清楚楚:奖励由2024年减半后设定的3.125 BTC区块补贴,加上2,627笔交易合计0.02228115 BTC的手续费构成。区块浏览器将该矿工列为“Unknown”,而coinbase信息写着“ckpool /braiinssolo/”——这只能说明算力是通过Braiins Solo服务接入的,矿工本人身份、设备与算力规模均未披露。这是约38天零9小时以来的首次solo中奖:上一次出现在8月3日的960804区块,当时一名solo CK矿工拿下3.15689830 BTC。与矿池挖矿的经济模型相比,差异极为悬殊——矿池模式下参与者按算力贡献比例分摊奖励;而solo赢家独吞全部补贴和手续费,在此之前则颗粒无收。由于单个区块的美元价值随BTC价格浮动,链上唯一固定的数字就是3.14728115 BTC本身;加之矿工的电费与硬件成本未公开,这笔收入不应被解读为纯利润。

同一资产,两种信任模型

对任何在基础链之外持有比特币敞口的人来说,这两件事并置颇具启示。solo区块奖励不需要托管人、不需要跨链桥协议、也不存在披露时间线——账本本身就是审计,38天的中奖间隔不过是概率彩票的正常波动。Nomic漏洞则是它的镜像:一种wrapped资产的抵押依赖无人维护的代码,检测滞后74天,缺口还要靠治理投票来填补。我们对复盘报告和链上Tornado Cash资金流的解读是:透明度在事后发挥了作用——正因为链是公开的,671 ETH的轨迹和22.65枚allBTC的冻结才可追踪——但检测直到协议停摆才姗姗来迟。随着BTCfiwrapped资产设计层出不穷,未经审计的转发机制积压,仍是这个板块隐秘的资产负债表风险。