Автор: CryptoSlate
Переклад: Shenchao TechFlow
Глибокий огляд: Це не відсутність підпису, а те, що авторизований підписант надіслав цінові дані «з майбутнього». Де оборонна лінія DeFi-протоколів, коли перевірка пройдена, але самі дані отруйні? Ostium досі не оприлюднив остаточний розрахунок збитків та звіт після інциденту, залишивши величезне питання щодо зловживання повноваженнями підписантів.
Платформа ончейн-перпетуальних угод Ostium повідомила, що тривала п’ять хвилин інцидент безпеки призвів до втрат у публічній ліквідній касі. Безпекова компанія оцінила розмір уразливості в межах 24 мільйонів доларів США.
Співзасновниця Kaledora Kiernan-Linn підтвердила, що проблема виникла між 14:18 та 14:23 UTC 15 липня і вплинула на публічну скарбницю Ostium Liquidity Providers (OLP). Вона зазначила, що команда виявила проблему за кілька хвилин і за годину координаційно призупинила торгівлю. У заяві не наведено точну загальну суму збитків, первинну причину чи фінальний звіт після інциденту.
Безпекові компанії стверджують, що суть події полягає в авторизованих даних, а не в відсутності підпису. Blockaid і Cyvers зазначили, що зареєстрований форвардер PriceUpKeep надіслав авторизований звіт оракула з майбутньою датою, що створило фальшивий прибуток від угод.
SlowMist стверджує, що авторизовані підписувачі надали маніпульовані дані з дійсними підписами для повторного отримання прибутку від угод. Ці описи залишаються виявленнями сторонніх осіб і очікують підтвердження від Ostium у звіті після події.
Криптографічна аутентифікація підтверджує, що звіт підписаний дозволеним ключем. Однак доцільність цін, актуальність часової мітки та безпека розрахунків вимагають окремих заходів контролю.
Код OstiumVerifier, отриманий із безпечного посилання на документи Ostium, відновлює підписача ECDSA і перевіряє, чи має підписач дозвіл, але ця функція перевірки не вимагає тестування раціональності ціни або меж часової мітки.
Код, схоже, не вказує, яка версія реалізації активна під час події, чи чи ці перевірки застосовуються окремим контрактом. Будь-які заходи щодо часових міток, повторного відтворення, відхилень цін або багатоджерельного захисту повинні виконуватися в інших місцях виконавчого шляху.
Навіть якщо ціна акцій не змінюється, токенізовані акції як забезпечення втрачають дійсність
Документація протоколу Ostium стверджує, що сховище OLP зберігає забезпечення трейдерів і миттєво виплачує виграшні угоди в ланцюжку. Якщо підтверджуються фальшиві прибутки, ліквідність сховища покриває ці виплати.
Оцінки на публічній основі продовжують зростати. Blockaid вважає, що платіж становить майже 18 мільйонів доларів США, Cyvers оцінює 23,7 мільйона доларів США, а PeckShield пізніше зазначила, що було виведено близько 24 мільйонів доларів США.
Нижчий показник у 11,86 мільйона доларів США, згідно з SlowMist, схоже, відповідає виведенню коштів з каси на суму 11 862 444,782 USDC, яке видно у зазначених транзакціях.
Нова вразливість SummerFi DeFi показує, що AI-автоматизація вже перевершила ризики смарт-контрактів
PeckShield повідомила, що вилучений USDC було обміняно на 12 080 ETH, і на момент оновлення 10 540 ETH було надіслано до Tornado Cash. Kiernan-Linn сказав, що Ostium співпрацює з правоохоронними органами, SEAL 911 та сторонніми експертами з безпеки.
Цей механізм відрізняє Ostium від подібної проблеми, яка виникла чотири дні тому в угоді про позичання Hedera Bonzo Lend. У звіті про подію Bonzo зазначалося, що його валідатор прийняв доказ без дійсного підпису. У випадку з Ostium безпекова компанія стверджує, що звіт пройшов шлях авторизованого підписувача: автентифікація була успішною, але дані, як стверджується, були небезпечними.
Як нульовий підписовий оракул розблокував 9 мільйонів доларів США з протоколу позичання Hedera DeFi Bonzo Lend
Ostium все ще потребує підтвердження, чи були скомпрометовані ключі підписувачів, чи виконувалися авторизовані дії з зловмисними намірами, чи були зловжиті інші привілеї.
Його заходи з виправлення будуть оцінюватися з точки зору того, чи зможуть ізоляція підписувачів, строгі межі часових міток, незалежна перевірка цін, обмеження швидкості та механізми аварійного зупинення запобігти тому, щоб надійний шлях перетворив кілька хвилин поганих даних на ще одну виплату зі скарбниці.