أوستيوم تُبلغ عن خسارة قدرها 23.75 مليون دولار أمريكي USDC نتيجة استغلال أوراكل خارج السلسلة

أُلصق مسؤولو Ostium خسارة 23.75 مليون دولار أمريكي بخرق خارج السلسلة، وليس بعقود ذكية أفادت Ostium أن الاستغلال الذي وقع في يوليو وأدى إلى سرقة 23.75 مليون دولار أمريكي من صندوق السيولة العام (OLP) كان نتيجة اختراق البنية التحتية خارج السلسلة وتلاعب في تقارير الأسعار — وليس بسبب عيب في عقودها الذكية أو اختراق مفاتيح التوقيع المتعددة للحوكمة. ما الذي حدث: - في تقرير مراجعة ما بعد الحادث نُشر يوم الأربعاء، أفادت Ostium أن المهاجم حصل على وصول غير مصرح به إلى أنظمتها خارج السلسلة وقدم تقارير أسعار مزيفة لـ BTC/USD. وقد أنتجت هذه الأسعار المُعدلة أرباحًا تجارية وهمية للمهاجم، بينما تكبد صندوق OLP الخسائر. - لم يجد الفريق أي دليل على أن منطق العقود الذكية أو مفاتيح التوقيع المتعددة التي تتحكم في الحوكمة قد تم اختراقها. بدلاً من ذلك، استغل المهاجم مسارات المُوجِّه التي كان البروتوكول يعترف بها بالفعل كمسارات صالحة. - بدأ الاستغلال بتجربة تجارية صغيرة: مركز بقيمة 100 دولار أمريكي أنتج ربحًا وهميًا قدره حوالي 897.8 دولار أمريكي. وبعد هذه التجربة، نفذ المهاجم دفعة رئيسية نقلت حوالي 11.9 مليون دولار أمريكي إلى محفظة المستفيد، تلتها ست دورات إضافية منفصلة. إجمالي الخسارة من صندوق OLP: 23.75 مليون دولار أمريكي. التحليل السابق وكيف يتوافق معه: - كانت شركة أمن البلوك تشين Blockaid قد أشارت سابقًا إلى أن الحادث نتج عن تسريب المفتاح الخاص لختم oracle، قائلةً إن المهاجم تجاوز التحقق من الأسعار الخاص بـ Ostium من خلال تقديم تقارير مُعدلة عبر مُوجِّه PriceUpKeep المسجل. وقد قدّر الرصد على السلسلة الخاص بـ Blockaid في البداية عمليات السحب بين 11.86 مليون و18 مليون دولار عبر حوالي 20 دورة تداول أثناء استمرار الهجوم. - تتوافق نتائج Ostium مع هذا المسار الهجومي: فقد سمح التسريب في بيانات التوقيع بتقديم تقارير أسعار مزيفة مؤرخة مستقبليًا بحيث تبدو صالحة، مما مكّن من تنفيذ دورات متكررة لفتح وإغلاق الصفقات، مما أدى إلى أرباح للمهاجم وخسائر لصندوق السيولة — وليس بسبب عيب في العقد الذكي. الاستجابة والتأثير: - اكتشف نظام المراقبة الآلي الخاص بـ Ostium النشاط غير الطبيعي قبل حدوث أي تسريبات إضافية. وأوقف البروتوكول التداول أثناء التحقيق، ونقل العمليات إلى بيئة إنتاجية جديدة مع تعزيز ضوابط الأمان، وأعاد فتح التداول في 23 يوليو. - لم تتأثر ضمانات التجار لأن الهامش الخاص بالمستخدمين ظل داخل عقود التداول وليس داخل صندوق السيولة المخترق. - تقوم Ostium بإنهاء خطة استرداد للجهات الموردة للسيولة المتضررة، وتقول إنها ستُصدر تحديثًا مخصصًا يحتوي على التفاصيل. الآثار الأوسع: - يبرز هذا الحادث المخاطر الأوسع في مجال التمويل اللامركزي الناتجة عن البنية التحتية خارج السلسلة وأنظمة oracle المستخدمة لتزويد بيانات السوق. وتشير تحليلات كل من Ostium وBlockaid إلى أن البنية التحتية الداعمة — وليس الكود الأساسي للعقود الذكية — هي نقطة الضعف في هذا الاستغلال. السياق: - جاء هذا الاستغلال بعد أسابيع من إعلان Ostium عن شراكة في مايو مع Nasdaq لدعم منتجات دائمة للأسهم باستخدام بيانات السوق الخاصة بـ Nasdaq. وقد سبق أن أعلنت Ostium أنها معالجة أكثر من 50 مليار دولار في إجمالي حجم التداول، وجمعت حوالي 27.8 مليون دولار من مستثمرين بما في ذلك General Catalyst وJump Crypto وCoinbase Ventures وWintermute وGSR. أكملت Ostium تحقيقها الأولي حول الآليات على السلسلة، وهي تعد الآن رسائل إضافية حول استرداد السيولة للموردين المتضررين من الاستغلال. ابقوا متابعين لهذا التحديث المخصص.