🚨 عاجل: خسر Ostium، وهو تبادل للعقود الدائمة المدعومة بأصول حقيقية RWA على Arbitrum، ما بين $18M و23.7 مليون دولار بعد أن اخترق مهاجم النظام.

إليك ما حدث: يتحقق نظام أوراكل Ostium مما إذا كان تقرير السعر صادراً من مُوقّع مخوّل. لكنه لا يتحقق مما إذا كان السعر نفسه حقيقياً. كان لدى المهاجم كلٌّ من مفتاح مُوقّع الأوراكل المخوّل ودور “keeper” مسجّل باسم PriceUpKeep، وهو المكوّن المسؤول عن تنفيذ الصفقات فعلياً. لا ينبغي أن يكون أيٌّ من هذين قابلاً للتعيين الذاتي إطلاقاً؛ فكلاهما مُخصص لأن يُتحكَّم فيه فقط عبر الحوكمة الخاصة بـ Ostium.

وبعد الحصول على هاتين القطعتين، نفّذ المهاجم الحلقة نفسها مراراً داخل معاملات مجمّعة واحدة: فتح مركز باستخدام سعر فتح منخفض مُفبرك، ثم إغلاقه باستخدام سعر إغلاق مرتفع مُفبرك، وجمع الربح الزائف مباشرةً من الخزنة. قامت دفعة واحدة فقط بتدوير هذه العملية خمس مرات بإجمالي 11.86 مليون دولار. ثم كرر ذلك عدة مرات أخرى بعد ذلك.

لم تكن هذه هجوماً عبر قرض سريع (flash loan) أو تلاعباً بأسعار بسبب سيولة ضعيفة، وهو النوع من الاستغلال الذي قضت عليه DeFi سنوات وهي تقوي نفسها ضده. كانت هذه مفاتيح توقيع مسروقة أو مُساء استخدامها، وهي مشكلة لا يمكن لأي قدر من عمق السيولة على السلسلة حمايتها من.

كانت الخزنة تضم 32.7 مليون دولار قبل الهجوم. وتضم الآن قرابة 9 ملايين دولار، أي انخفاض بنسبة 72%. وقد حوّل المهاجم بالفعل معظم قيمة $USDC المسروقة إلى $ETH وبدأ غسلها عبر Tornado Cash. أوقف Ostium التداول خلال أقل من ساعة ويقول إن أموال المتداولين والمراكز المفتوحة لا تزال مجمّدة وسليمة.

هذه هي ثاني عملية اختراق لمُوقّع الأوراكل في DeFi خلال أسبوعين. خسرت Bonzo Finance 9 ملايين دولار بسبب آلية شبه مماثلة قبل أربعة أيام فقط. يواصل المدققون تدقيق الكود. ولكن تقريباً لا أحد يدقق فيمن يملك المفاتيح.