Yazar: CryptoSlate
Derin Akış TechFlow
Derin Akış Özet: Bu, imza eksikliği değil, yetkilendirilmiş imzalayıcının "gelecekteki" fiyat verilerini göndermesidir. Doğrulama başarılı olmasına rağmen veriler zehirliyse, DeFi protokollerinin koruma duvarı nerededir? Ostium, henüz nihai kayıp hesaplamasını ve olay sonrası raporunu açıklamadı, bu da imzalayıcı yetkilerinin kötüye kullanımına dair büyük sorular bırakıyor.
Zincir üzerindeki kalıcı ticaret platformu Ostium, beş dakika süren bir güvenlik olayı nedeniyle genel likidite kasasında kayıp yaşadığını açıkladı. Güvenlik şirketi, açıklığın büyüklüğünü 24 milyon dolar olarak tahmin etti.
Ko-founder Kaledora Kiernan-Linn, sorunun 15 Temmuz UTC saat 14:18 ile 14:23 arasında ortaya çıktığını ve genel Ostium likidite sağlayıcı (OLP) kasanın etkilendiğini doğruladı. Takımın sorunu birkaç dakika içinde tespit ettiğini ve işlem durdurma işlemlerini bir saat içinde koordine ettiğini belirtti. Açıklamada kesin kayıp tutarı, temel neden veya nihai olay sonrası raporu verilmedi.
Güvenlik firmaları, olayın çekirdeğinin eksik imza değil, yetkilendirilmiş veri olduğunu belirtti. Blockaid ve Cyvers, kayıtlı bir PriceUpKeep iletecinin gelecek tarihli bir yetki oracle raporu göndererek sahte işlem kârı yarattığını ifade etti.
SlowMist, yetkili imzalayıcının, tekrarlı kar elde etmek için manipüle edilmiş verilerle geçerli imzalar sağladığını belirtti. Bu açıklamalar hâlâ üçüncü taraf tarafından keşfedilmiş olup, Ostium'un olay sonrası raporuyla onaylanmayı bekliyor.
Kriptografik doğrulama, raporun izin verilen anahtarla imzalandığını onaylar. Ancak fiyat makullüğü, zaman damgası yeniliği ve settlement güvenliği için ayrı kontrol önlemleri gereklidir.
Ostium güvenlik belgesi bağlantısından gelen OstiumVerifier kodu, ECDSA imzalayıcısını geri yükler ve imzalayanın yetkili olup olmadığını kontrol eder, ancak bu doğrulama işlevi fiyat mantıklılığı testini veya zaman damgası sınırlarını zorunlu kılmaz.
Kod, etkinlik sırasında hangi uygulama sürümünün aktif olduğunu veya bu kontrollerin ayrı bir sözleşme tarafından uygulanıp uygulanmadığını belirtmiyor. Herhangi bir zaman damgası, tekrar oynatma, fiyat sapması veya çok kaynaklı koruma önlemleri, yürütme yolunun başka bir yerinde çalıştırılmalıdır.
Hisse senedi fiyatı hareketsiz olsa bile, tokenleştirilmiş hisseler teminat olarak geçersiz hale gelir.
Ostium'un protokol belgesine göre, OLP kasanı ticaretçilerin teminatını tutar ve kazanan işlemler için zincir üzerinde anında ödeme yapar. Sahte kârlar ödenebilirse, kasa likiditesi bu ödemeleri karşılar.
Açık tahmini değer, izleme devam ettikçe yükselmeye devam ediyor. Blockaid, 18 milyon doların yakın bir tutarında ödeme yapıldığını belirtiyor, Cyvers 23,7 milyon doları tahmin ediyor, PeckShield ise yaklaşık 24 milyon doların çekildiğini açıkladı.
SlowMist'in daha düşük olan 11,86 milyon ABD doları rakamı, referans işlemlerinde görülen 11.862.444,782 USDC'lik kasa çıkışı ile uyumlu görünüyor.
SummerFi DeFi yeni bir açığını ortaya çıkardı, AI otomasyonu artık akıllı sözleşmelerin risklerini aştı
PeckShield, çekilen USDC'nin 12.080 ETH'ye değiştirildiğini ve güncelleme anına kadar 10.540 ETH'nin Tornado Cash'e aktarıldığını belirtti. Kiernan-Linn, Ostium'un yasal makamlar, SEAL 911 ve üçüncü taraf güvenlik uzmanlarıyla iş birliği içinde olduğunu söyledi.
Bu mekanizma, Ostium'u dört gün önceki Hedera ödünç verme protokolü Bonzo Lend ile benzer bir sorundan ayırmaktadır. Bonzo olay raporuna göre, doğrulayıcıları geçerli bir imza olmayan bir kanıt kabul etmişti. Ostium vakasında ise güvenlik şirketi, raporun yetkili imzalayıcı yolu üzerinden geçtiğini iddia etti: kimlik doğrulama başarılıydı, ancak verilerin güvenli olmadığı iddia edildi.
Sıfır imzalı bir oracle, Hedera DeFi kredi protokolü Bonzo Lend'ten 9 milyon dolar nasıl serbest bırakır
Ostium, imza anahtarlarının ihlal edilip edilmediğini, yetkilendirilmiş işlemlerin kötü niyetli davranıp davranmadığını veya diğer yetkili yolların istismar edilip edilmediğini doğrulamakta devam etmektedir.
Onarım önlemlerinin, güvenilen bir yoldan dakikalarca bozuk verinin tekrar bir kasa ödemesine dönüşmesini önleyip önleyemeyeceği, imzalayıcı izolasyonu, sıkı zaman damgası sınırları, bağımsız fiyat kontrolleri, hız sınırlama ve kesme mekanizmaları ile değerlendirilecektir.