أوقفت Ostium التداول بعد استغلال مرتبط بمفتاح توقيع أوراكل مخترق أدى إلى سحب ما يقرب من 18 مليون دولار أمريكي من مخزن السيولة الخاص بها، وفقًا لشركة أمن البلوكتشين Blockaid.
أفادت Blockaid أن المهاجم سيطر على مفتاح خاص لموقع أوراكل، مما سمح له بتجاوز عملية التحقق الخاصة بالبروتوكول وتقديم تقارير أسعار مستقبلية تفضل صفقاته. باستخدام موجه PriceUpKeep مسجل، قام المهاجم بفتح وإغلاق المراكز بشكل متكرر من خلال إجراءات مفوضة، مستخرجًا الأرباح دون تحمل مخاطر سوقية حقيقية.
قالت شركة الأمن إن الاستغلال أدى إلى حوالي 20 حلقة تداول استنزفت الأموال تدريجيًا من المخزن الرئيسي لـ Ostium. تظهر السجلات الموجودة على السلسلة أن المهاجم سحب ما بين 11.86 مليون دولار و 18 مليون دولار أمريكي، وهو ما يعادل حوالي 28٪ من إجمالي القيمة المقفلة للبروتوكول البالغة 63 مليون دولار في وقت وقوع الحادث. يمكن التحقق من المعاملة الأولية للاستغلال على Arbiscan.
تقدم Ostium، التي تعمل على شبكة Arbitrum، تداولًا لا مركزيًا دائمًا للأصول العالمية المرمزة، بما في ذلك الأسهم والسلع وأسواق العملات الأجنبية ومؤشرات الأسهم.
بدلاً من استغلال ثغرة في كود العقود الذكية، استغل المهاجم بنية الأوراكل الموثوقة بعد الحصول على مفتاح توقيع صالح. وفقًا لـ Blockaid، سمحت تقارير الأوراكل المتلاعب بها بمرور أسعار تفضيلية من خلال فحوصات البروتوكول، مما جعل كل صفقة تبدو مشروعة بينما تم تحويل الخسائر إلى مخزن السيولة.
جدد الحادث الاهتمام بأمن الأوراكل حيث تعتمد بروتوكولات التمويل اللامركزي بشكل متزايد على مصادر البيانات الخارجية للتسعير. نسبت Blockaid الاستغلال إلى بيانات اعتماد التوقيع المخترقة بدلاً من خطأ في التسعير أو التلاعب بالسوق من خلال نشاط التداول العادي.
منذ ذلك الحين، أوقف البروتوكول التداول بينما تستمر التحقيقات. تم نصح المستخدمين بمتابعة قنوات الاتصال الرسمية لـ Ostium للحصول على تحديثات حول عمليات السحب وأي تدابير استرداد أخرى.
قبل الاستغلال، جمعت Ostium حوالي 27.8 مليون دولار من مستثمرين بما في ذلك General Catalyst و Jump Crypto و Coinbase Ventures و Wintermute و GSR. وقع الحادث على الرغم من الدعم المؤسسي للمشروع والعديد من عمليات تدقيق الأمان، مما يسلط الضوء على أن البنية التحتية خارج العقود الذكية المدققة لا يزال من الممكن أن تصبح نقطة فشل حرجة.
يضاف هذا الهجوم أيضًا إلى سلسلة من الحوادث الأمنية الأخيرة التي تؤثر على منصات العملات المشفرة. في وقت سابق من هذا الشهر، ذكرت crypto.news أن Ctrl Wallet أعلنت أنها ستغلق بشكل دائم بعد استغلال أمني منفصل أثر على بعض محافظ Cardano.
أمهلت الشركة المستخدمين حتى 3 أغسطس لنقل أصولهم المشفرة قبل تعطيل وظائف المحفظة، بما في ذلك الإرسال والاستلام والمبادلة، مع إتاحة تصدير عبارة الاسترداد فقط.
في مكان آخر في نظام Arbitrum البيئي، اقترحت شبكة Secret Network مؤخرًا ترحيل رمز SCRT الخاص بها من Cosmos إلى Arbitrum، مشيرة إلى مخاوف أمنية، وسيولة أضعف، وكود قديم على شبكتها الحالية. يتضمن الاقتراح لقطة واحدة في 1 سبتمبر ستوزع رمز ERC-20 SCRT جديدًا على Arbitrum على حاملي SCRT الأصليين والمخزونين المؤهلين.
مع استمرار المشاريع في التوسع على Arbitrum، يوضح استغلال Ostium أن تأمين البنية التحتية للأوراكل يظل بنفس أهمية تدقيق العقود الذكية. وفقًا لنتائج Blockaid، كان مفتاح توقيع واحد مخترق كافيًا لتجاوز التحقق الموثوق من الأسعار وإلحاق خسائر بملايين الدولارات في غضون ساعات.
