Que s'est-il passé sur la chaîne Nomic ?
Un attaquant a enchaîné deux bugs pour émettre 40,650602 BTC de nBTC sur Osmosis sans le moindre bitcoin en réserve, le 25 juin 2026. Nomic est une chaîne de blocs qui propose une solution de conservation décentralisée de bitcoins et émet nBTC, un jeton que le projet présente comme adossé 1 pour 1 au BTC et transféré vers d'autres chaînes via IBC, le canal de communication utilisé dans l'écosystème Cosmos. Son dépôt public invite les utilisateurs réguliers à faire tourner un nœud du réseau et indique que le protocole fait l'objet d'audits de sécurité en cours. Osmosis, plateforme d'échange décentralisée du même écosystème, a décrit le 9 septembre un défaut permettant de dépenser deux fois le même nBTC et d'envoyer ainsi de faux bons vers sa propre chaîne. Le bug se situait dans un mécanisme de transfert propre à Nomic, précise-t-elle, ni Osmosis ni IBC n'ayant été compromis. Ce type de pont entre blockchains, qui verrouille un actif d'un côté pour en émettre une représentation de l'autre, ne vaut que ce que vaut le code qui compte les réserves.
Pourquoi la faille est-elle restée invisible 74 jours ?
Aucun des deux projets n'a semble-t-il détecté ni signalé la perte pendant cette période, rapporte Protos. L'affaire est sortie après un arrêt du protocole Nomic, qui a conduit Osmosis à examiner ses propres réserves. Le constat : son jeton allBTC était adossé à 36 % de moins que ce qu'il représentait. Nomic ne paraît plus activement entretenu, toujours selon Protos : son compte X n'a rien publié depuis 2024 et son dépôt de code n'a pas reçu de contribution depuis deux ans. Un jeton adossé dépend entièrement des équipes qui surveillent ses réserves, et un déficit de cette taille a ici circulé plus de deux mois sans être relevé publiquement. Le même mécanisme a déjà coûté cher ailleurs, comme lors du détournement de 293 millions de dollars chez Kelp DAO en avril 2026.
| Élément | Montant |
|---|---|
| nBTC émis sans contrepartie | 40,650602 BTC |
| allBTC gelé sur le compte de l'attaquant | 22,65 allBTC |
| Fonds blanchis via Tornado Cash | 671 ETH |
| Déficit de couverture d'allBTC | 36 % |
Combien l'attaquant a-t-il récupéré ?
Une partie du butin est restée immobile sous forme d'allBTC. Osmosis a gelé 22,65 allBTC sur le compte de l'attaquant cette semaine, à la faveur d'une mise à jour d'urgence de sa chaîne. Le reste a été converti et déplacé : 671 ETH ont été envoyés vers le mélangeur Tornado Cash sur Ethereum, soit environ 1 million de dollars au cours du moment de l'opération, selon Protos. Un message publié sur le forum de gouvernance d'Osmosis détaille la façon dont la plateforme entend reconstituer les 40 BTC manquants derrière allBTC :
- saisir les 22,65 allBTC gelés sur le compte de l'attaquant,
- annuler un redéploiement de liquidité en USDC.noble encore en attente,
- prélever le complément en allBTC sur le Community Pool.
Pour un détenteur, la leçon opérationnelle tient en une ligne : un BTC représenté sur une autre chaîne n'est pas un BTC détenu, et conserver ses bitcoins en autogarde supprime cette couche de dépendance.
Le reste de l'écosystème Cosmos est-il concerné ?
Cosmos a par ailleurs connu une série d'incidents liés à un bug, sans rapport avec celui-ci, dans un module Cosmos EVM largement utilisé. La façon dont l'équipe Cosms Labs a communiqué ce défaut a été critiquée, avec des délais bien plus courts que dans le cas de nBTC. KiiChain, l'un des projets touchés, a qualifié sa perte d'évitable et reproché la publication du correctif avant l'information des équipes concernées, ce qui revient à livrer la faille à quiconque lit le commit.
