Ostium menetapkan penarikan USDC senilai $23,75 juta akibat pelanggaran off-chain, bukan kontrak pintar Ostium menyatakan bahwa eksploitasi pada Juli yang menarik 23,75 juta USDC dari vault likuiditas publik (OLP) disebabkan oleh infrastruktur off-chain yang dikompromikan dan manipulasi pelaporan harga—bukan karena kelemahan pada kontrak pintar atau pelanggaran terhadap multisig tata kelola. Apa yang terjadi: - Dalam laporan pasca-insiden yang diterbitkan pada Rabu, Ostium melaporkan bahwa penyerang memperoleh akses tidak sah ke sistem off-chain-nya dan mengirimkan laporan harga BTC-USD yang curang. Harga yang dimanipulasi tersebut menghasilkan keuntungan perdagangan palsu bagi penyerang, sementara kerugian ditanggung oleh vault OLP. - Tim tidak menemukan bukti bahwa logika kontrak pintar atau multisig yang mengendalikan tata kelola telah dikompromikan. Sebaliknya, penyerang memanfaatkan jalur forwarder yang sudah diakui sebagai valid oleh protokol. - Eksploitasi dimulai dengan perdagangan uji coba kecil: posisi 100 USDC yang menghasilkan keuntungan palsu sekitar 897,8 USDC. Setelah uji coba tersebut, penyerang menjalankan batch utama yang memindahkan sekitar 11,9 juta USDC ke dompet penerima, diikuti oleh enam siklus mandiri tambahan. Total kerugian dari vault OLP: 23,75 juta USDC. Analisis sebelumnya dan kesesuaiannya: - Perusahaan keamanan blockchain Blockaid sebelumnya mengaitkan insiden ini dengan kunci pribadi penandatangan oracle yang dikompromikan, menyatakan bahwa penyerang melewati verifikasi harga Ostium dengan mengirimkan laporan yang dimanipulasi melalui forwarder PriceUpKeep yang terdaftar. Pemantauan on-chain Blockaid awalnya memperkirakan penarikan antara $11,86 juta hingga $18 juta selama sekitar 20 siklus perdagangan saat serangan berlangsung. - Temuan Ostium konsisten dengan jalur serangan tersebut: kredensial penandatangan yang dikompromikan memungkinkan laporan harga yang bertanggal masa depan tampak valid, sehingga memungkinkan siklus perdagangan open/close berulang yang menghasilkan keuntungan bagi penyerang dan kerugian bagi kolam likuiditas—bukan karena kelemahan kontrak pintar. Respons dan dampak: - Pemantauan otomatis Ostium mendeteksi aktivitas abnormal sebelum penarikan lebih lanjut terjadi. Protokol menghentikan perdagangan selama investigasi, bermigrasi ke lingkungan produksi baru dengan kontrol keamanan yang diperketat, dan melanjutkan perdagangan pada 23 Juli. - Jaminan trader tidak terpengaruh karena margin pengguna tetap berada di dalam kontrak perdagangan, bukan di kolam likuiditas yang dikompromikan. - Ostium sedang menyempurnakan rencana pemulihan untuk penyedia likuiditas yang terdampak dan akan menerbitkan pembaruan khusus dengan detail lebih lanjut. Implikasi lebih luas: - Insiden ini menyoroti risiko lebih luas di DeFi yang berasal dari infrastruktur off-chain dan sistem oracle yang digunakan untuk menyediakan data pasar. Analisis Ostium dan Blockaid sama-sama menunjukkan bahwa infrastruktur pendukung—bukan kode kontrak pintar inti—merupakan titik lemah dalam eksploitasi ini. Konteks: - Eksploitasi ini terjadi beberapa minggu setelah Ostium mengumumkan kemitraan pada Mei dengan Nasdaq untuk mendukung produk perpetual ekuitas menggunakan data pasar Nasdaq. Ostium sebelumnya telah mengungkapkan bahwa ia telah memproses lebih dari $50 miliar volume perdagangan kumulatif dan mengumpulkan sekitar $27,8 juta dari investor termasuk General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute, dan GSR. Ostium telah menyelesaikan investigasi awal terhadap mekanisme on-chain dan sedang mempersiapkan komunikasi lebih lanjut mengenai pemulihan likuiditas bagi penyedia yang terdampak oleh eksploitasi ini. Tetap pantau pembaruan khusus tersebut.
Ostium Melaporkan Kerugian USDC $23,75 Juta Akibat Eksploitasi Oracle Off-Chain
ChainGPTBagikan
Ringkasan
Ostium melaporkan kerugian USDC sebesar $23,75 juta dari vault OLPnya setelah eksploitasi oracle luar jaringan pada Juli 2026. Data on-chain menunjukkan penyerang memanipulasi feed harga BTC-USD melalui forwarder yang dikompromikan. Eksploitasi dimulai dengan perdagangan uji coba 100 USDC dan meningkat melalui siklus berulang. Analisis on-chain mengonfirmasi tidak ada kelemahan pada kontrak pintar atau multisig. Blockaid mengaitkan pelanggaran ini dengan kunci penandatangan oracle yang dicuri. Perdagangan dihentikan, dan Ostium kini sedang menyusun rencana pemulihan untuk penyedia likuiditas.
Sumber:Tampilkan versi asli
Penafian: Informasi pada halaman ini mungkin telah diperoleh dari pihak ketiga dan tidak mencerminkan pandangan atau opini KuCoin. Konten ini disediakan hanya untuk tujuan informasi umum, tanpa representasi atau jaminan apa pun, dan tidak dapat ditafsirkan sebagai saran keuangan atau investasi. KuCoin tidak bertanggung jawab terhadap segala kesalahan atau kelalaian, atau hasil apa pun yang keluar dari penggunaan informasi ini.
Berinvestasi di aset digital dapat berisiko. Harap mengevaluasi risiko produk dan toleransi risiko Anda secara cermat berdasarkan situasi keuangan Anda sendiri. Untuk informasi lebih lanjut, silakan lihat Ketentuan Penggunaan dan Pengungkapan Risiko.