Ostium、オフチェーンオラクル攻撃により2375万米ドルのUSDCを損失

Ostium、オフチェーンの不正アクセスによる2375万USDCの流出を認定、スマートコントラクトは関与せず Ostiumは、7月に公開流動性（OLP）バウトから2375万USDCが不正に引き出された件について、スマートコントラクトのバグやガバナンスマルチシグの侵害ではなく、オフチェーンインフラの侵害と価格報告の操作が原因であると発表した。 発生経緯 - 水曜日に公開された事後分析報告によると、攻撃者はOstiumのオフチェーンシステムに不正アクセスし、偽のBTC-USD価格報告を送信した。この操作された価格により、攻撃者は仮想的な取引利益を獲得し、一方でOLPバウトは損失を被った。 - チームは、スマートコントラクトのロジックやガバナンスを制御するマルチシグに脆弱性が存在しないことを確認した。代わりに、攻撃者はプロトコルが既に有効と認識していたフォワーダーパスを悪用した。 - この攻撃は小さなテスト取引から始まった：100 USDCの保有資産で約897.8 USDCの偽の利益を生み出した。この試行後、攻撃者は約1190万USDCを受益者ウォレットに移動させる主要な一括処理を実行し、その後6つの追加の独立したサイクルを繰り返した。OLPバウトからの総損失：2375万USDC。 以前の分析との整合性 - ブロックチェーンセキュリティ企業Blockaidは、以前この事件をオラクル署名者のプライベートキーの漏洩によるものと断定し、攻撃者が登録されたPriceUpKeepフォワーダーを通じて操作された価格報告を送信することで、Ostiumの価格検証を回避したと説明した。Blockaidのオンチェーン監視は、攻撃が進行中だった際、約20回の取引ループで1186万～1800万ドルの引き出しを推定していた。 - Ostiumの調査結果は、この攻撃経路と一致している：不正な署名資格により、未来日付の価格報告が有効に見えるようにされ、攻撃者は繰り返しオープン／クローズ取引サイクルを実行し、流動性プールには損失、攻撃者には利益をもたらした。これはスマートコントラクトの欠陥によるものではない。 対応と影響 - Ostiumの自動監視システムは、さらなる流出が発生する前に異常な活動を検知した。プロトコルは調査期間中、取引を一時停止し、セキュリティ制御を強化した新しい本番環境に移行し、7月23日に取引を再開した。 - ユーザーの証拠金は影響を受けなかった。ユーザーの証拠金は、侵害された流動性プールではなく取引契約内に保管されていたためだ。 - Ostiumは、この攻撃で影響を受けた流動性提供者向けの回復計画を最終調整中であり、詳細を含む専用アップデートを公開する予定である。 より広い影響 - この事件は、DeFiにおける市場データを供給するオフチェーンインフラとオラクルシステムに内在するリスクの広がりを浮き彫りにしている。OstiumとBlockaidの分析はいずれも、この攻撃における弱点がコアなスマートコントラクトコードではなく、補助的インフラであることを示している。 背景 - この攻撃は、OstiumがNasdaqと5月に提携し、Nasdaqの市場データを利用して株式パーペチュアル製品をサポートすると発表してから数週間後に発生した。Ostiumはこれまでに累計500億ドル以上の取引高を処理し、General Catalyst、Jump Crypto、Coinbase Ventures、Wintermute、GSRなどから約2780万ドルを調達している。 Ostiumはオンチェーンメカニズムに関する初期調査を終え、今回の攻撃で影響を受けた流動性提供者向けの回復に関する追加のコミュニケーションを準備中である。専用アップデートをお楽しみに。