Платформа бессрочных контрактов Ostium, работающая на Arbitrum и специализирующаяся на реальных активах, лишилась почти $18 млн в USDC. Злоумышленники получили доступ к ключу подписанта оракула и подставили нужные им цены.

Как проходила атака

Корнем проблемы стал скомпрометированный приватный ключ подписанта оракула. С ним нападавший обошёл проверки подлинности и начал передавать в протокол ценовые отчёты, датированные будущим временем. Использовался зарегистрированный форвардер PriceUpKeep, а сделки проводились через делегированные действия — около двадцати циклов открытия и закрытия позиций подряд. Прибыль возникала мгновенно и за счёт протокола, без реального рыночного риска.

Треть хранилища за считаные часы

На инцидент первой указала компания по безопасности Blockaid. По ончейн-данным, из основного хранилища ликвидности вывели порядка $11,86–18 млн USDC — это около 28% от TVL протокола, который на момент атаки составлял $63 млн. Ключевую транзакцию можно проверить в обозревателе Arbiscan.

Сильные инвесторы не спасли от провала

Ostium считается одной из ведущих децентрализованных площадок бессрочных контрактов на реальные активы — акции, сырьё, валютные пары и индексы. Проект привлёк около $27,8 млн от General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute и GSR и проходил несколько аудитов. Тем не менее случившееся вскрыло устойчивую слабость инфраструктуры, завязанной на оракулы.

Расследование продолжается, пользователям советуют следить за официальными каналами проекта — там появятся инструкции по выводу средств. На фоне быстрого роста сегмента бессрочных контрактов на реальные активы инцидент напоминает: даже хорошо профинансированные протоколы остаются уязвимы к атакам на приватные ключи и оракулы.

Источник: BeInCrypto