Ostium зупинив торгівлю після експлойту, пов'язаного з компрометацією ключа підписанта оракула, який викачав майже 18 мільйонів доларів USDC з його сховища ліквідності, за даними фірми з блокчейн-безпеки Blockaid.

Blockaid повідомив, що зловмисник отримав контроль над приватним ключем підписанта оракула, що дозволило йому обійти процес верифікації протоколу та подавати звіти про ціни з майбутніми датами, які були на його користь. Використовуючи зареєстрований PriceUpKeep форвардер, зловмисник багаторазово відкривав і закривав позиції через делеговані дії, витягуючи прибутки без реального ризику для ринку.

Фірма з безпеки заявила, що експлойт спровокував близько 20 торгових циклів, які неухильно викачували кошти з основного сховища Ostium. Ончейн-записи показують, що зловмисник вивів від 11,86 мільйона до 18 мільйонів доларів USDC, що дорівнює приблизно 28% від загальної заблокованої вартості протоколу в 63 мільйони доларів на момент інциденту. Основну транзакцію експлойту можна перевірити на Arbiscan.

Ostium, який працює на Arbitrum, пропонує децентралізовану безстрокову торгівлю токенізованими реальними активами, включно з акціями, сировинними товарами, валютними ринками та фондовими індексами.

Компрометація ключа оракула уможливила багаторазове вилучення прибутку

Замість експлуатації недоліку в коді смарт-контракту, зловмисник зловживав довіреною інфраструктурою оракула після отримання дійсного ключа підписанта. За даними Blockaid, маніпульовані звіти оракула дозволяли сприятливим цінам проходити перевірки протоколу, роблячи кожну угоду легітимною, переносячи збитки до сховища ліквідності.

Цей інцидент поновив увагу до безпеки оракулів, оскільки протоколи децентралізованих фінансів дедалі більше залежать від зовнішніх джерел даних для ціноутворення. Blockaid приписав експлойт компрометованим обліковим даним для підпису, а не помилці в ціноутворенні або маніпуляції ринком через звичайну торгову діяльність.

Протокол призупинив торгівлю, поки триває розслідування. Користувачам порадили стежити за офіційними каналами зв'язку Ostium для отримання оновлень щодо виведення коштів та будь-яких подальших заходів з відновлення.

Інституційна підтримка не змогла запобігти черговій невдачі у сфері безпеки

До експлойту Ostium залучив близько 27,8 мільйонів доларів від інвесторів, включаючи General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute та GSR. Інцидент стався попри інституційну підтримку проекту та численні аудити безпеки, підкреслюючи, що інфраструктура поза перевіреними смарт-контрактами все ще може стати критичною точкою відмови.

Атака також доповнює серію нещодавніх інцидентів безпеки, що впливають на криптоплатформи. Раніше цього місяця crypto.news повідомив, що Ctrl Wallet оголосив про своє постійне закриття після окремого експлойту безпеки, що зачепив деякі гаманці Cardano.

Компанія дала користувачам час до 3 серпня, щоб перемістити свої криптоактиви, перш ніж функції гаманця, включаючи надсилання, отримання та обмін, будуть вимкнені, залишаючи доступними лише експорт відновлювальної фрази.

В екосистемі Arbitrum, Secret Network нещодавно запропонувала міграцію свого токена SCRT з Cosmos на Arbitrum, посилаючись на проблеми безпеки, слабшу ліквідність та застарілий код у своїй поточній мережі. Пропозиція включає одноразовий знімок стану на 1 вересня, який розподілить новий токен SCRT стандарту ERC-20 на Arbitrum серед відповідних власників нативних та стейкованих SCRT.

Оскільки проекти продовжують розширюватися на Arbitrum, експлойт Ostium демонструє, що забезпечення безпеки інфраструктури оракулів залишається таким же важливим, як і аудит смарт-контрактів. За висновками Blockaid, одного компрометованого ключа підписанта було достатньо, щоб обійти довірену перевірку цін та завдати багатомільйонних збитків протягом кількох годин.