Ostium telah menyimpulkan bahwa eksploitasi pada bulan Juli berasal dari infrastruktur off-chain yang disusupi daripada dari celah dalam kontrak pintarnya, setelah penyelidikan menemukan penyerang memanipulasi pelaporan harga untuk menguras 23,75 juta USDC dari vault likuiditas protokol.
Menurut post-mortem Ostium yang diterbitkan pada hari Rabu, penyerang memperoleh akses tidak sah ke infrastruktur off-chain protokol dan menggunakannya untuk mengirimkan laporan harga BTC-USD yang curang.
Laporan yang dimanipulasi memungkinkan penyerang menciptakan keuntungan perdagangan buatan dengan mengorbankan vault OLP publik, sementara protokol tidak menemukan bukti bahwa kontrak pintar atau multisig tata kelolanya telah disusupi.
Selama penyelidikannya, Ostium mengatakan pelanggaran awal terjadi di luar infrastruktur on-chain protokol. Tim menyatakan bahwa temuannya tidak mengidentifikasi adanya kerentanan dalam logika kontrak pintar protokol atau kompromi apa pun yang melibatkan multisig yang bertanggung jawab untuk mengatur protokol.
Sebaliknya, penyerang menyalahgunakan jalur penerusan (forwarder paths) yang sudah diakui protokol sebagai valid. Ostium menjelaskan bahwa eksploitasi dimulai dengan transaksi uji kecil yang melibatkan posisi 100 USDC, menghasilkan sekitar 897,8 USDC dalam keuntungan buatan sebelum penyerang memperluas operasinya.
Setelah uji coba berhasil, penyerang mengeksekusi kumpulan transaksi utama, mentransfer sekitar 11,9 juta USDC ke dompet penerima. Ostium mengatakan enam siklus eksploitasi mandiri tambahan menyusul, sehingga total kerugian dari vault OLP menjadi 23,75 juta USDC.
Laporan sebelumnya dari perusahaan keamanan blockchain Blockaid telah mengaitkan insiden tersebut dengan kunci pribadi penanda oracle (oracle signer private key) yang disusupi, mengatakan penyerang melewati proses verifikasi harga protokol dengan mengirimkan laporan harga yang dimanipulasi melalui forwarder PriceUpKeep yang terdaftar. Pada saat itu, Blockaid memperkirakan bahwa antara $11,86 juta dan $18 juta USDC telah ditarik selama sekitar 20 putaran perdagangan, berdasarkan aktivitas eksploitasi yang terlihat di rantai (on-chain) saat serangan masih berlangsung.
Meskipun eksploitasi berhasil menguras dana dari vault likuiditas, Ostium mengatakan sistem pemantauan otomatisnya mendeteksi aktivitas abnormal tersebut sebelum penarikan lebih lanjut dapat terjadi. Protokol tersebut kemudian menghentikan perdagangan sementara penyelidikannya berlanjut dan sejak itu telah bermigrasi ke lingkungan produksi baru dengan kontrol keamanan yang diperbarui.
Perdagangan dilanjutkan pada 23 Juli setelah migrasi selesai.
Ostium juga mengatakan jaminan (collateral) trader tetap tidak terpengaruh sepanjang insiden tersebut karena margin pengguna tetap berada di dalam kontrak perdagangan protokol daripada di dalam pool likuiditas yang disusupi.
Tim menambahkan bahwa mereka masih menyelesaikan rencana pemulihan terpisah untuk penyedia likuiditas yang dananya terkena dampak eksploitasi tersebut. Menurut protokol, rincian lebih lanjut akan dirilis dalam pembaruan khusus.
Meskipun laporan terbaru Ostium mengaitkan insiden tersebut dengan akses tidak sah ke infrastruktur off-chain-nya, temuan ini konsisten dengan jalur serangan yang sebelumnya diuraikan oleh Blockaid, yang menyimpulkan bahwa kredensial penandatanganan yang disusupi memungkinkan laporan harga yang curang melewati proses verifikasi protokol.
Menurut analisis Blockaid sebelumnya, penyerang berulang kali membuka dan menutup posisi melalui tindakan yang didelegasikan setelah mengirimkan laporan harga berjangka yang menguntungkan. Karena laporan yang dimanipulasi tampak valid bagi protokol, setiap siklus perdagangan menghasilkan keuntungan bagi penyerang sambil mentransfer kerugian ke vault likuiditas OLP alih-alih mengandalkan kerentanan dalam kode kontrak pintar itu sendiri.
Insiden ini telah menarik perhatian pada keamanan infrastruktur pendukung yang diandalkan oleh protokol keuangan terdesentralisasi (decentralized finance) untuk data pasar eksternal. Dalam kasus Ostium, baik post-mortem protokol maupun penyelidikan awal Blockaid menyimpulkan bahwa eksploitasi tersebut tidak berasal dari cacat pada kontrak pintar inti.
Eksploitasi tersebut terjadi hanya beberapa minggu setelah Ostium memperluas kehadirannya di institusi melalui kemitraan dengan Nasdaq yang diumumkan pada bulan Mei. Pada saat itu, protokol tersebut mengatakan data pasar Nasdaq akan mendukung produk perpetual ekuitas yang terdaftar di platform.
Ostium juga mengungkapkan selama pengumuman tersebut bahwa mereka telah memproses lebih dari $50 miliar dalam volume perdagangan kumulatif.
Sebelum eksploitasi, protokol tersebut telah mengumpulkan sekitar $27,8 juta dari investor termasuk General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute, dan GSR, sesuai pengungkapan perusahaan sebelumnya.
