Ostium báo cáo tổn thất 23,75 triệu USD từ vụ khai thác lỗ hổng oracle ngoài chuỗi

Ostium xác nhận việc bị rút 23,75 triệu USDC là do vi phạm ngoài blockchain, không phải do hợp đồng thông minh Ostium cho biết vụ khai thác vào tháng Bảy, khiến 23,75 triệu USDC bị rút từ quỹ thanh khoản công cộng (OLP), là kết quả của cơ sở hạ tầng ngoài blockchain bị xâm phạm và báo giá giá bị thao túng — chứ không phải do lỗi trong hợp đồng thông minh hoặc sự xâm nhập vào các multisig kiểm soát quản trị. Sự việc diễn ra như thế nào: - Trong báo cáo phân tích sau sự cố công bố vào thứ Tư, Ostium cho biết kẻ tấn công đã có quyền truy cập trái phép vào hệ thống ngoài blockchain và gửi các báo giá giá BTC-USD gian lận. Những báo giá bị thao túng này tạo ra lợi nhuận giao dịch giả tạo cho kẻ tấn công, trong khi tổn thất rơi vào quỹ OLP. - Nhóm kỹ thuật không tìm thấy bằng chứng nào cho thấy logic hợp đồng thông minh hoặc các multisig kiểm soát quản trị bị xâm phạm. Thay vào đó, kẻ tấn công đã lạm dụng các đường dẫn forwarder mà giao thức đã công nhận là hợp lệ. - Vụ khai thác bắt đầu bằng một giao dịch thử nghiệm nhỏ: một vị thế 100 USDC tạo ra khoảng 897,8 USDC lợi nhuận giả. Sau thử nghiệm này, kẻ tấn công thực hiện một lô giao dịch chính chuyển khoảng 11,9 triệu USDC đến ví người nhận, tiếp theo là sáu chu kỳ độc lập bổ sung. Tổng tổn thất từ quỹ OLP: 23,75 triệu USDC. Phân tích trước đó và sự phù hợp của nó: - Công ty bảo mật blockchain Blockaid trước đó đã quy kết sự cố này cho việc khóa riêng của oracle signer bị xâm phạm, cho rằng kẻ tấn công đã bypass xác minh giá của Ostium bằng cách gửi báo giá bị thao túng thông qua forwarder PriceUpKeep đã đăng ký. Việc giám sát trên blockchain của Blockaid ban đầu ước tính các khoản rút tiền nằm trong khoảng từ 11,86 triệu đến 18 triệu USD qua khoảng 20 vòng giao dịch trong lúc vụ tấn công đang diễn ra. - Kết luận của Ostium phù hợp với đường đi tấn công này: thông tin xác thực bị xâm phạm cho phép các báo giá giá giả, có ngày tương lai, trông giống như hợp lệ, từ đó cho phép lặp lại các chu kỳ giao dịch mở/đóng nhằm tạo lợi nhuận cho kẻ tấn công và tổn thất cho quỹ thanh khoản — không phải do lỗi hợp đồng thông minh. Phản ứng và tác động: - Hệ thống giám sát tự động của Ostium đã phát hiện hoạt động bất thường trước khi các đợt rút tiền tiếp theo xảy ra. Giao thức đã tạm dừng giao dịch trong quá trình điều tra, chuyển sang môi trường sản xuất mới với các biện pháp bảo mật được siết chặt, và khôi phục giao dịch vào ngày 23 tháng Bảy. - Tài sản đảm bảo của người giao dịch không bị ảnh hưởng vì ký quỹ của người dùng vẫn nằm trong các hợp đồng giao dịch, chứ không nằm trong quỹ thanh khoản bị xâm phạm. - Ostium đang hoàn thiện kế hoạch phục hồi cho các nhà cung cấp thanh khoản bị ảnh hưởng và cho biết sẽ công bố bản cập nhật chi tiết riêng. Hệ quả rộng hơn: - Sự cố này làm nổi bật rủi ro rộng lớn hơn trong DeFi xuất phát từ cơ sở hạ tầng ngoài blockchain và hệ thống oracle dùng để cung cấp dữ liệu thị trường. Cả phân tích của Ostium lẫn Blockaid đều chỉ ra rằng cơ sở hạ tầng hỗ trợ — chứ không phải mã hợp đồng thông minh cốt lõi — mới là điểm yếu trong vụ khai thác này. Bối cảnh: - Vụ khai thác xảy ra vài tuần sau khi Ostium công bố hợp tác với Nasdaq vào tháng Năm để hỗ trợ các sản phẩm vĩnh viễn cổ phiếu sử dụng dữ liệu thị trường của Nasdaq. Ostium trước đó đã tiết lộ đã xử lý hơn 50 tỷ USD khối lượng giao dịch tích lũy và huy động được khoảng 27,8 triệu USD từ các nhà đầu tư bao gồm General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute và GSR. Ostium đã hoàn tất điều tra ban đầu về cơ chế trên blockchain và đang chuẩn bị các thông báo tiếp theo về việc phục hồi thanh khoản cho các nhà cung cấp bị ảnh hưởng bởi vụ khai thác. Hãy theo dõi bản cập nhật chuyên biệt sắp tới.