Ostium дійшов висновку, що липневий експлойт походив зі скомпрометованої офчейн інфраструктури, а не з вади в його смарт-контрактах, після того, як розслідування виявило, що зловмисник маніпулював звітами про ціни, щоб вивести 23,75 мільйона USDC зі сховища ліквідності протоколу.
Згідно з пост-мортемом Ostium, опублікованим у середу, зловмисник отримав несанкціонований доступ до офчейн інфраструктури протоколу та використав його для подання шахрайських цінових звітів BTC-USD.
Маніпульовані звіти дозволили зловмиснику створити штучні торгові прибутки за рахунок публічного сховища OLP, тоді як протокол не виявив жодних доказів того, що його смарт-контракти або мультисиги управління були скомпрометовані.
Під час свого розслідування Ostium заявив, що початкове порушення сталося за межами ончейн інфраструктури протоколу. Команда зазначила, що її висновки не виявили жодної вразливості в логіці смарт-контрактів протоколу або будь-якого компромісу, що стосується мультисигів, відповідальних за управління протоколом.
Натомість зловмисник зловживав шляхами пересилання, які протокол вже визнав дійсними. Ostium пояснив, що експлойт розпочався з невеликої тестової транзакції, яка включала позицію в 100 USDC, генеруючи приблизно 897,8 USDC штучного прибутку, перш ніж зловмисник розширив операцію.
Після успішного тесту зловмисник виконав основну партію транзакцій, перевівши близько 11,9 мільйона USDC на гаманець бенефіціара. Ostium заявив, що після цього відбулося шість додаткових окремих циклів експлойту, довівши загальні втрати зі сховища OLP до 23,75 мільйона USDC.
Раніше компанія з блокчейн-безпеки Blockaid приписала інцидент скомпрометованому приватному ключу підписувача оракула, заявивши, що зловмисник обійшов процес перевірки цін протоколу, подавши маніпульовані цінові звіти через зареєстрований пересилач PriceUpKeep. На той час Blockaid оцінював, що від 11,86 мільйона до 18 мільйонів USDC було виведено під час приблизно 20 торгових циклів, виходячи з активності експлойту, видимої в блокчейні, поки атака ще тривала.
Хоча експлойт успішно вивів кошти зі сховища ліквідності, Ostium заявив, що його автоматизовані системи моніторингу виявили аномальну активність до того, як могли відбутися додаткові виведення коштів. Протокол згодом зупинив торгівлю, поки тривало розслідування, і відтоді мігрував до нового виробничого середовища з оновленими заходами безпеки.
Торгівля відновилася 23 липня після завершення міграції.
Ostium також заявив, що застава трейдерів залишилася неушкодженою протягом усього інциденту, оскільки маржа користувачів залишалася всередині торгових контрактів протоколу, а не в скомпрометованому пулі ліквідності.
Команда додала, що вона все ще допрацьовує окремий план відновлення для постачальників ліквідності, чиї кошти постраждали від експлойту. За даними протоколу, подальші деталі будуть опубліковані в спеціальному оновленні.
Хоча останній звіт Ostium приписує інцидент несанкціонованому доступу до його офчейн інфраструктури, його висновки узгоджуються зі шляхом атаки, раніше викладеним Blockaid, який дійшов висновку, що скомпрометовані облікові дані для підпису дозволили шахрайським ціновим звітам пройти процес перевірки протоколу.
Згідно з попереднім аналізом Blockaid, зловмисник неодноразово відкривав і закривав позиції за допомогою делегованих дій після подання вигідних майбутніх цінових звітів. Оскільки маніпульовані звіти здавалися дійсними для протоколу, кожен торговий цикл генерував прибутки для зловмисника, передаючи втрати до сховища ліквідності OLP, замість того, щоб покладатися на вразливість у самому коді смарт-контракту.
Інцидент привернув увагу до безпеки допоміжної інфраструктури, на яку покладаються протоколи децентралізованих фінансів для зовнішніх ринкових даних. У випадку Ostium, як пост-мортем протоколу, так і попереднє розслідування Blockaid дійшли висновку, що експлойт не походив з вад в основних смарт-контрактах.
Експлойт стався лише через кілька тижнів після того, як Ostium розширив свою інституційну присутність завдяки партнерству з Nasdaq, оголошеному в травні. Тоді протокол заявив, що ринкові дані Nasdaq підтримуватимуть безстрокові продукти на акції, розміщені на платформі.
Ostium також розкрив під час цього оголошення, що він обробив понад 50 мільярдів доларів сукупного обсягу торгів.
До експлойту протокол залучив приблизно 27,8 мільйона доларів від інвесторів, включаючи General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute та GSR, згідно з попередніми розкриттями інформації компанією.
USDC
BTC
