Ostium Melaporkan Kerugian USDC $23.75J dari Eksploit Oracle Luar Rangka

Ostium menyalahkan penarikan USDC sebanyak $23.75 juta akibat pelanggaran luar blok rantai, bukan kontrak pintar Ostium menyatakan bahawa serangan pada Julai yang mengambil 23.75 juta USDC dari vault likuiditi awam (OLP) adalah akibat infrastruktur luar blok rantai yang telah disusupi dan laporan harga yang dimanipulasi — bukan kerana kelemahan dalam kontrak pintar atau pelanggaran terhadap multisig tatacara. Apa yang berlaku: - Dalam laporan pasca-kejadian yang diterbitkan pada Rabu, Ostium melaporkan bahawa penyerang mendapat akses tidak sah kepada sistem luar blok rantainya dan menghantar laporan harga BTC-USD yang tidak benar. Harga yang dimanipulasi ini menghasilkan keuntungan dagangan palsu bagi penyerang, sementara kerugian ditanggung oleh vault OLP. - Pasukan tidak menemui sebarang bukti bahawa logik kontrak pintar atau multisig yang mengawal tatacara telah disusupi. Sebaliknya, penyerang menyalahgunakan laluan forwarder yang sudah diiktiraf oleh protokol sebagai sah. - Serangan bermula dengan dagangan ujian kecil: satu kedudukan 100 USDC yang menghasilkan keuntungan palsu sebanyak kira-kira 897.8 USDC. Selepas ujian itu, penyerang menjalankan satu siri utama yang memindahkan kira-kira 11.9 juta USDC ke dompet penerima, diikuti oleh enam kitaran berasingan tambahan. Jumlah kerugian dari vault OLP: 23.75 juta USDC. Analisis sebelum ini dan kesesuaiannya: - Syarikat keselamatan blok rantai Blockaid sebelum ini menyalahkan kejadian ini kepada kunci peribadi penandatangan oracle yang telah disusupi, menyatakan bahawa penyerang melepasi pengesahan harga Ostium dengan menghantar laporan yang dimanipulasi melalui forwarder PriceUpKeep yang didaftarkan. Pemantauan atas blok rantai Blockaid awalnya menganggarkan penarikan antara $11.86 juta hingga $18 juta melalui kira-kira 20 kitaran dagangan semasa serangan berlangsung. - Kesimpulan Ostium selari dengan laluan serangan ini: maklumat penandatanganan yang disusupi membolehkan laporan harga yang bertarikh masa depan kelihatan sah, membolehkan kitaran dagangan buka/tutup berulang-ulang yang memberi keuntungan kepada penyerang dan kerugian kepada kolam likuiditi — bukan disebabkan kelemahan kontrak pintar. Tindakan balas dan kesan: - Pemantauan automatik Ostium mengesan aktiviti tidak biasa sebelum penarikan lanjut berlaku. Protokol menghentikan dagangan semasa penyiasatan, berpindah ke persekitaran pengeluaran baharu dengan kawalan keselamatan yang lebih ketat, dan menghidupkan semula dagangan pada 23 Julai. - Jaminan pedagang tidak terjejas kerana margin pengguna tetap berada di dalam kontrak dagangan, bukan di dalam kolam likuiditi yang disusupi. - Ostium sedang menyempurnakan rancangan pemulihan untuk penyedia likuiditi yang terjejas dan akan menerbitkan kemas kini khas dengan butiran terperinci. Implikasi lebih luas: - Kejadian ini menekankan risiko lebih luas dalam DeFi yang timbul daripada infrastruktur luar blok rantai dan sistem oracle yang digunakan untuk menyediakan data pasaran. Analisis Ostium dan Blockaid kedua-duanya menunjukkan infrastruktur sokongan — bukan kod kontrak pintar utama — sebagai titik lemah dalam serangan ini. Konteks: - Serangan ini berlaku beberapa minggu selepas Ostium mengumumkan perjanjian Mei dengan Nasdaq untuk menyokong produk abadi ekuiti menggunakan data pasaran Nasdaq. Ostium sebelum ini telah mengumumkan bahawa ia telah memproses lebih daripada $50 bilion volum dagangan kumulatif dan mengumpulkan kira-kira $27.8 juta daripada pelabur termasuk General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute dan GSR. Ostium telah menutup penyiasatan awal terhadap mekanisme atas blok rantai dan sedang bersiap untuk komunikasi lanjut mengenai pemulihan likuiditi untuk penyedia yang terjejas oleh serangan ini. Tetap pantau kemas kini khas itu.