Ostium фиксирует слив 23,75 млн USDC из-за нарушения вне блокчейна, а не смарт-контрактов Ostium сообщает, что эксплуатация в июле, приведшая к перечислению 23,75 млн USDC из публичного ликвидного пула (OLP), была результатом компрометации инфраструктуры вне блокчейна и манипуляций с отчетами о ценах — а не ошибки в смарт-контрактах или взлома мультиподписей управления. Что произошло: - В постмортеме, опубликованном в среду, Ostium сообщила, что злоумышленник получил несанкционированный доступ к ее системам вне блокчейна и отправил фальшивые отчеты о цене BTC/USD. Эти манипулированные цены создали искусственную прибыль для злоумышленника, в то время как убытки легли на пул OLP. - Команда не обнаружила доказательств компрометации логики смарт-контрактов или мультиподписей, управляющих управлением. Вместо этого злоумышленник использовал пути пересылки, которые протокол уже считал действительными. - Эксплуатация началась с небольшого тестового трейда: позиция на 100 USDC принесла примерно 897,8 USDC фиктивной прибыли. После этого теста злоумышленник выполнил основную партию, переведя около 11,9 млн USDC на кошелек бенефициара, за которой последовали шесть дополнительных отдельных циклов. Общий ущерб из пула OLP: 23,75 млн USDC. Ранний анализ и его соответствие: - Компания по безопасности блокчейна Blockaid ранее приписала инцидент компрометации приватного ключа оракула-подписчика, заявив, что злоумышленник обходил проверку цен Ostium, отправляя манипулированные отчеты через зарегистрированный forwarder PriceUpKeep. Первичный мониторинг Blockaid оценил объем выводов в диапазоне от 11,86 млн до 18 млн долларов США через примерно 20 торговых циклов во время атаки. - Выводы Ostium согласуются с этим сценарием атаки: скомпрометированные учетные данные подписи позволили фальшивым отчетам о ценах с будущей датой выглядеть действительными, что позволило повторять циклы открытия/закрытия сделок, приносящие прибыль злоумышленнику и убытки ликвидному пулу — не из-за ошибки в смарт-контракте. Реакция и последствия: - Автоматизированный мониторинг Ostium зафиксировал аномальную активность до того, как произошли дополнительные сливы. Протокол приостановил торговлю во время расследования, перешел на новую производственную среду с усиленными мерами безопасности и возобновил торговлю 23 июля. - Коллатерал трейдеров не пострадал, поскольку маржа пользователей оставалась внутри торговых контрактов, а не в скомпрометированном ликвидном пуле. - Ostium завершает план восстановления для пострадавших поставщиков ликвидности и обещает опубликовать отдельное обновление с подробностями. Более широкие последствия: - Инцидент подчеркивает общие риски в DeFi, связанные с инфраструктурой вне блокчейна и оракулами, используемыми для передачи рыночных данных. Анализ Ostium и Blockaid указывает на вспомогательную инфраструктуру — а не на основной код смарт-контрактов — как на слабое звено в этой эксплуатации. Контекст: - Эксплуатация произошла через несколько недель после объявления Ostium о партнерстве с Nasdaq в мае для поддержки перпетуальных продуктов на акциях с использованием рыночных данных Nasdaq. Ostium ранее сообщала, что обработала более 50 млрд долларов США совокупного объема торгов и привлекла около 27,8 млн долларов США от инвесторов, включая General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute и GSR. Ostium завершила первоначальное расследование ончейн-механик и готовит дальнейшие коммуникации по восстановлению ликвидности для поставщиков, пострадавших от эксплуатации. Следите за этим отдельным обновлением.
Ostium сообщает о потере $23,75 млн USDC из-за эксплуатации оракула вне цепочки
ChainGPTПоделиться
Сводка
Ostium сообщила о потере $23,75 млн USDC из своего OLP-хранилища после эксплуатации оракула вне цепочки в июле 2026 года. Данные в цепочке показывают, что злоумышленник манипулировал ценовыми потоками BTC-USD через скомпрометированный форвардер. Эксплуатация началась с тестовой сделки на 100 USDC и масштабировалась через повторяющиеся циклы. Анализ в цепочке подтверждает, что уязвимостей в смарт-контрактах или мультиподписях не было. Blockaid связал инцидент с украденным ключом подписи оракула. Торговля была приостановлена, и Ostium сейчас разрабатывает план восстановления для поставщиков ликвидности.
Источник:Показать оригинал
Отказ от ответственности: Информация на этой странице может быть получена от третьих лиц и не обязательно отражает взгляды или мнения KuCoin. Данный контент предоставляется исключительно в общих информационных целях, без каких-либо заверений или гарантий, а также не может быть истолкован как финансовый или инвестиционный совет. KuCoin не несет ответственности за ошибки или упущения, а также за любые результаты, полученные в результате использования этой информации.
Инвестиции в цифровые активы могут быть рискованными. Пожалуйста, тщательно оценивайте риски, связанные с продуктом, и свою устойчивость к риску, исходя из собственных финансовых обстоятельств. Для получения более подробной информации, пожалуйста, ознакомьтесь с нашими Условиями использования и Уведомлением о риске.