Ostium telah menghentikan perdagangan setelah eksploitasi yang terkait dengan kunci penanda tangan oracle yang disusupi menguras hampir $18 juta USDC dari brankas likuiditasnya, menurut perusahaan keamanan blockchain Blockaid.
Blockaid melaporkan bahwa penyerang menguasai kunci pribadi penanda tangan oracle, memungkinkan mereka untuk melewati proses verifikasi protokol dan mengirimkan laporan harga yang bertanggal di masa mendatang yang mendukung perdagangan mereka. Menggunakan PriceUpKeep forwarder yang terdaftar, penyerang berulang kali membuka dan menutup posisi melalui tindakan yang didelegasikan, mengekstraksi keuntungan tanpa mengambil risiko pasar yang sesungguhnya.
Perusahaan keamanan tersebut mengatakan eksploitasi tersebut memicu sekitar 20 loop perdagangan yang secara bertahap menguras dana dari brankas utama Ostium. Catatan on-chain menunjukkan penyerang menarik antara $11,86 juta dan $18 juta USDC, setara dengan sekitar 28% dari total nilai terkunci (TVL) protokol senilai $63 juta pada saat insiden. Transaksi eksploitasi utama dapat diverifikasi di Arbiscan.
Ostium, yang beroperasi di Arbitrum, menawarkan perdagangan perpetual terdesentralisasi untuk aset dunia nyata yang ditokenisasi, termasuk ekuitas, komoditas, pasar valuta asing, dan indeks saham.
Alih-alih mengeksploitasi cacat dalam kode kontrak pintar, penyerang menyalahgunakan infrastruktur oracle tepercaya setelah mendapatkan kunci penanda tangan yang valid. Menurut Blockaid, laporan oracle yang dimanipulasi memungkinkan harga yang menguntungkan lolos dari pemeriksaan protokol, membuat setiap perdagangan tampak sah sambil mentransfer kerugian ke brankas likuiditas.
Insiden ini kembali menarik perhatian pada keamanan oracle karena protokol keuangan terdesentralisasi semakin bergantung pada umpan data eksternal untuk penetapan harga. Blockaid mengaitkan eksploitasi tersebut dengan kredensial penanda tangan yang disusupi, bukan kesalahan penetapan harga atau manipulasi pasar melalui aktivitas perdagangan normal.
Protokol tersebut sejak itu menghentikan perdagangan sementara penyelidikan berlanjut. Pengguna telah disarankan untuk mengikuti saluran komunikasi resmi Ostium untuk pembaruan mengenai penarikan dan tindakan pemulihan lebih lanjut.
Sebelum eksploitasi, Ostium telah mengumpulkan sekitar $27,8 juta dari investor termasuk General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute, dan GSR. Insiden ini terjadi meskipun proyek tersebut memiliki dukungan institusional dan beberapa audit keamanan, menyoroti bahwa infrastruktur di luar kontrak pintar yang diaudit masih bisa menjadi titik kegagalan kritis.
Serangan ini juga menambah serangkaian insiden keamanan baru-baru ini yang memengaruhi platform kripto. Awal bulan ini, crypto.news melaporkan bahwa Ctrl Wallet mengumumkan akan ditutup secara permanen setelah eksploitasi keamanan terpisah yang memengaruhi beberapa dompet Cardano.
Perusahaan memberi pengguna waktu hingga 3 Agustus untuk memindahkan aset kripto mereka sebelum fungsi dompet, termasuk pengiriman, penerimaan, dan penukaran, dinonaktifkan, hanya menyisakan ekspor frasa pemulihan.
Di tempat lain dalam ekosistem Arbitrum, Secret Network baru-baru ini mengusulkan migrasi token SCRT-nya dari Cosmos ke Arbitrum, mengutip masalah keamanan, likuiditas yang lebih lemah, dan kode yang menua pada jaringannya saat ini. Proposal tersebut mencakup snapshot satu kali pada 1 September yang akan mendistribusikan token SCRT ERC-20 baru di Arbitrum kepada pemegang SCRT asli dan yang distaking yang memenuhi syarat.
Saat proyek terus berekspansi ke Arbitrum, eksploitasi Ostium menunjukkan bahwa mengamankan infrastruktur oracle tetap sama pentingnya dengan mengaudit kontrak pintar. Menurut temuan Blockaid, satu kunci penanda tangan yang disusupi sudah cukup untuk melewati verifikasi harga tepercaya dan menimbulkan kerugian jutaan dolar dalam hitungan jam.
