ऑस्टियम ने निष्कर्ष निकाला है कि उसका जुलाई का एक्सप्लॉइट (हमला) उसके स्मार्ट कॉन्ट्रैक्ट में किसी खामी के बजाय उसके ऑफ-चेन बुनियादी ढांचे से समझौता होने के कारण उत्पन्न हुआ था, एक जांच के बाद पाया गया कि हमलावर ने प्रोटोकॉल के तरलता वॉल्ट से 23.75 मिलियन यूएसडीसी निकालने के लिए कीमत रिपोर्टिंग में हेरफेर किया था।

बुधवार को प्रकाशित ऑस्टियम के पोस्ट-मॉर्टम के अनुसार, हमलावर ने प्रोटोकॉल के ऑफ-चेन बुनियादी ढांचे तक अनधिकृत पहुंच प्राप्त की और इसका उपयोग धोखाधड़ी वाली बीटीसी-यूएसडी कीमत रिपोर्ट प्रस्तुत करने के लिए किया। 

हेरफेर की गई रिपोर्टों ने हमलावर को सार्वजनिक ओएलपी वॉल्ट की कीमत पर कृत्रिम ट्रेडिंग लाभ बनाने की अनुमति दी, जबकि प्रोटोकॉल को कोई सबूत नहीं मिला कि उसके स्मार्ट कॉन्ट्रैक्ट्स या गवर्नेंस मल्टीसिग्स से समझौता किया गया था।

ऑस्टियम का कहना है कि एक्सप्लॉइट ने ऑफ-चेन सिस्टम को बायपास कर दिया

अपनी जांच के दौरान, ऑस्टियम ने कहा कि प्रारंभिक उल्लंघन प्रोटोकॉल के ऑन-चेन बुनियादी ढांचे के बाहर हुआ। टीम ने कहा कि उसके निष्कर्षों में प्रोटोकॉल के स्मार्ट कॉन्ट्रैक्ट लॉजिक में कोई भेद्यता (कमजोरी) या प्रोटोकॉल को नियंत्रित करने वाले मल्टीसिग्स से संबंधित कोई समझौता नहीं पाया गया।

इसके बजाय, हमलावर ने फॉरवर्डर पाथ का दुरुपयोग किया जिसे प्रोटोकॉल पहले से ही वैध मानता था। ऑस्टियम ने समझाया कि एक्सप्लॉइट एक छोटे परीक्षण लेनदेन से शुरू हुआ जिसमें 100 यूएसडीसी की स्थिति शामिल थी, जिससे हमलावर द्वारा ऑपरेशन का विस्तार करने से पहले लगभग 897.8 यूएसडीसी का कृत्रिम लाभ हुआ।

सफल परीक्षण के बाद, हमलावर ने लेनदेन का प्राथमिक बैच निष्पादित किया, लगभग 11.9 मिलियन यूएसडीसी को एक लाभार्थी वॉलेट में स्थानांतरित करते हुए। ऑस्टियम ने कहा कि छह अतिरिक्त स्टैंडअलोन एक्सप्लॉइट चक्र इसके बाद हुए, जिससे ओएलपी वॉल्ट से कुल नुकसान 23.75 मिलियन यूएसडीसी हो गया।

ब्लॉकचेन सुरक्षा फर्म ब्लॉकएड की पिछली रिपोर्टिंग ने इस घटना को एक समझौता किए गए ओरेकल साइनर निजी कुंजी के लिए जिम्मेदार ठहराया था, यह कहते हुए कि हमलावर ने एक पंजीकृत प्राइसअपकीप फॉरवर्डर के माध्यम से हेरफेर की गई कीमत रिपोर्ट प्रस्तुत करके प्रोटोकॉल की कीमत सत्यापन प्रक्रिया को बायपास कर दिया। उस समय, ब्लॉकएड ने अनुमान लगाया था कि लगभग 20 ट्रेडिंग लूप के दौरान 11.86 मिलियन डॉलर और 18 मिलियन यूएसडीसी के बीच निकासी हुई थी, हमले के अभी भी जारी रहने के दौरान ऑन-चेन पर दिखाई देने वाली एक्सप्लॉइट गतिविधि के आधार पर।

स्वचालित निगरानी ने अतिरिक्त नुकसान को सीमित किया

जबकि एक्सप्लॉइट तरलता वॉल्ट से धन निकालने में सफल रहा, ऑस्टियम ने कहा कि उसकी स्वचालित निगरानी प्रणालियों ने अतिरिक्त निकासी होने से पहले असामान्य गतिविधि का पता लगाया। प्रोटोकॉल ने अपनी जांच जारी रहने के दौरान बाद में ट्रेडिंग रोक दी और तब से अद्यतन सुरक्षा नियंत्रणों के साथ एक नए उत्पादन वातावरण में स्थानांतरित हो गया है।

माइग्रेशन पूरा होने के बाद 23 जुलाई को ट्रेडिंग फिर से शुरू हुई।

ऑस्टियम ने यह भी कहा कि इस घटना के दौरान ट्रेडर का संपार्श्विक अप्रभावित रहा क्योंकि उपयोगकर्ता मार्जिन समझौता किए गए तरलता पूल के बजाय प्रोटोकॉल के ट्रेडिंग कॉन्ट्रैक्ट्स के अंदर रहा।

टीम ने कहा कि वह अभी भी तरलता प्रदाताओं के लिए एक अलग रिकवरी योजना को अंतिम रूप दे रही है जिनके फंड एक्सप्लॉइट से प्रभावित हुए थे। प्रोटोकॉल के अनुसार, आगे के विवरण एक समर्पित अपडेट में जारी किए जाएंगे।

ओरेकल इंफ्रास्ट्रक्चर हमले के केंद्र में रहा

हालांकि ऑस्टियम की नवीनतम रिपोर्ट इस घटना को उसके ऑफ-चेन बुनियादी ढांचे तक अनधिकृत पहुंच के लिए जिम्मेदार ठहराती है, उसके निष्कर्ष ब्लॉकएड द्वारा पहले बताई गई हमले के मार्ग के अनुरूप हैं, जिसने निष्कर्ष निकाला था कि समझौता किए गए हस्ताक्षर क्रेडेंशियल ने धोखाधड़ी वाली कीमत रिपोर्टों को प्रोटोकॉल की सत्यापन प्रक्रिया से गुजरने की अनुमति दी थी।

ब्लॉकएड के पहले के विश्लेषण के अनुसार, हमलावर ने अनुकूल भविष्य-दिनांकित कीमत रिपोर्ट प्रस्तुत करने के बाद डेलिगेटेड कार्यों के माध्यम से बार-बार पोजीशन खोली और बंद की। क्योंकि हेरफेर की गई रिपोर्ट प्रोटोकॉल को वैध प्रतीत हुई, प्रत्येक ट्रेडिंग चक्र ने हमलावर के लिए लाभ उत्पन्न किया जबकि स्मार्ट कॉन्ट्रैक्ट कोड में ही किसी भेद्यता पर निर्भर रहने के बजाय नुकसान को ओएलपी तरलता वॉल्ट में स्थानांतरित किया।

इस घटना ने सहायक बुनियादी ढांचे की सुरक्षा की ओर ध्यान आकर्षित किया है जिस पर विकेन्द्रीकृत वित्त प्रोटोकॉल बाहरी बाजार डेटा के लिए निर्भर करते हैं। ऑस्टियम के मामले में, प्रोटोकॉल के पोस्ट-मॉर्टम और ब्लॉकएड की पिछली जांच दोनों ने निष्कर्ष निकाला कि एक्सप्लॉइट कोर स्मार्ट कॉन्ट्रैक्ट्स में खामियों से उत्पन्न नहीं हुआ था।

ऑस्टियम एक्सप्लॉइट नैस्डेक साझेदारी के बाद हुआ

एक्सप्लॉइट ऑस्टियम द्वारा मई में घोषित नैस्डेक के साथ साझेदारी के माध्यम से अपनी संस्थागत उपस्थिति का विस्तार करने के कुछ हफ्तों बाद ही हुआ। उस समय, प्रोटोकॉल ने कहा था कि नैस्डेक का बाजार डेटा प्लेटफॉर्म पर सूचीबद्ध इक्विटी परपेचुअल उत्पादों का समर्थन करेगा।

ऑस्टियम ने उस घोषणा के दौरान यह भी खुलासा किया कि उसने संचयी ट्रेडिंग वॉल्यूम में 50 बिलियन डॉलर से अधिक का प्रसंस्करण किया था।

एक्सप्लॉइट से पहले, प्रोटोकॉल ने पिछली कंपनी के खुलासों के अनुसार, जनरल कैटालिस्ट, जंप क्रिप्टो, कॉइनबेस वेंचर्स, विंटरम्यूट और GSR सहित निवेशकों से लगभग 27.8 मिलियन डॉलर जुटाए थे।