Ostium фіксує витік 23,75 млн USDC через порушення поза блокчейном, а не через смартконтракти Ostium повідомляє, що експлойт у липні, під час якого було виведено 23,75 мільйона USDC з публічного ліквідного відділення (OLP), став наслідком компрометації поза блокчейн-інфраструктури та маніпуляцій з звітами про ціни — а не помилки в смартконтрактах чи порушення багатопідписових ключів управління. Що відбулося: - У постмортемі, опублікованому в середу, Ostium повідомила, що зловмисник отримав несанкціонований доступ до її поза блокчейн-систем і надіслав фальшиві звіти про ціну BTC-USD. Ці маніпульовані ціни створили штучний прибуток для зловмисника, тоді як збитки впали на відділення OLP. - Команда не знайшла жодних доказів компрометації логіки смартконтрактів чи багатопідписових ключів управління. Натомість зловмисник використав шляхи пересилання, які протокол вже визнавав як дійсні. - Експлойт розпочався з невеликого тестового угоди: позиція на 100 USDC принесла приблизно 897,8 USDC штучного прибутку. Після цього тесту зловмисник виконав основну партію, яка переказала близько 11,9 мільйона USDC на вигодний гаманець, а потім — ще шість додаткових окремих циклів. Загальна втрата з відділення OLP: 23,75 мільйона USDC. Ранній аналіз і його збіг - Фірма з безпеки блокчейну Blockaid раніше приписувала інцидент компрометації приватного ключа підписувача оракула, стверджуючи, що зловмисник обминув перевірку цін Ostium, надсилаючи маніпульовані звіти через зареєстрований forwarder PriceUpKeep. Он-чейн моніторинг Blockaid спочатку оцінив виведення в діапазоні від $11,86 млн до $18 млн протягом приблизно 20 торгівельних циклів під час атаки. - Висновки Ostium збігаються з цим шляхом атаки: компрометовані облікові дані дозволили фальшивим, майбутніми звітами про ціни виглядати дійсними, що дало можливість повторювати цикли відкриття/закриття угод, що приносили прибуток зловмиснику та збитки ліквідному пулу — не через недолік смартконтракту. Реакція та наслідки: - Автоматизований моніторинг Ostium виявив незвичну активність до того, як могли статися додаткові витоки. Протокол призупинив торгівлю під час розслідування, перейшов на нове продуктивне середовище з посиленими заходами безпеки та відновив торгівлю 23 липня. - Колатерал трейдерів не постраждав, оскільки маржа користувача залишалася всередині торгового контракту, а не в скомпрометованому ліквідному пулу. - Ostium завершує план відновлення для постраждалих постачальників ліквідності і повідомить про окремий оновлений звіт із деталями. Ширші наслідки: - Інцидент підкреслює загальну небезпеку в DeFi, пов’язану з поза блокчейн- інфраструктурою та оракулами, які надають ринкову інформацію. Аналізи Ostium та Blockaid обидва вказують на допоміжну інфраструктуру — а не на основний код смартконтрактів — як на слабке ланко цього експлойту. Контекст: - Експлойт стався через кілька тижнів після того, як Ostium оголосила про партнерство з Nasdaq у травні для підтримки еквітетних перпетуальних продуктів за допомогою ринкових даних Nasdaq. Ostium раніше повiadомляла, що обробила понад $50 млрд загального обсягу торгівлі та збирала близько $27,8 млн інвестицій включаючи General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute та GSR. Ostium завершила початкове розслідування он-чейн механізмів і готує додаткове повiadомлення щодо відновлення ліквідності для постраждалих постачальників. Следьте за оновленням.
Ostium повідомляє про втрату $23,75 млн USDC через експлойт оракула поза ланцюгом
ChainGPTПоділитися
Короткий зміст
Ostium повідомила про втрату 23,75 млн USDC зі свого OLP-кейсу після експлойту оракула поза ланцюгом у липні 2026 року. Дані в ланцюгу показують, що нападник маніпулював ціновими потоками BTC-USD через скомпрометований форвардер. Експлойт розпочався з тестової угоди на 100 USDC і посилювався через повторювані цикли. Аналіз у ланцюгу підтверджує, що не було жодних недоліків у смартконтракті чи мультіпідписі. Blockaid пов’язав порушення з вкраденим ключем підписувача оракула. Торгівлю призупинено, і Ostium зараз працює над планом відновлення для постачальників ліквідності.
Джерело:Показати оригінал
Відмова від відповідальності: Інформація на цій сторінці може бути отримана від третіх осіб і не обов'язково відображає погляди або думки KuCoin. Цей контент надається лише для загального інформування, без будь-яких запевнень або гарантій, а також не може розглядатися як фінансова або інвестиційна порада. KuCoin не несе відповідальності за будь-які помилки або упущення, а також за будь-які результати, отримані в результаті використання цієї інформації.
Інвестиції в цифрові активи можуть бути ризикованими. Будь ласка, ретельно оцініть ризики продукту та свою толерантність до ризику, виходячи з ваших власних фінансових обставин. Для отримання додаткової інформації, будь ласка, зверніться до наших Умов використання та Розкриття інформації про ризики.