🚨 RUPTURE : Ostium, une bourse de perpétuels RWA sur Arbitrum, vient de perdre entre $18M et 23,7 millions de dollars après qu’un attaquant ait compromis.

Voici ce qui s’est passé : le système d’oracle d’Ostium vérifie si un rapport de prix provient d’un signataire autorisé. Il ne vérifie pas si le prix lui-même est réel. L’attaquant détenait à la fois une clé de signataire d’oracle autorisée et un rôle de « keeper » enregistré appelé PriceUpKeep, le composant chargé d’exécuter réellement les transactions. Ni l’un ni l’autre ne devraient jamais pouvoir être attribués automatiquement : les deux sont censés être contrôlés uniquement par la propre gouvernance d’Ostium.
Avec ces deux éléments en main, l’attaquant a fait tourner la même boucle à plusieurs reprises à l’intérieur de transactions groupées « batched » : ouvrir une position en utilisant un prix d’ouverture bas fabriqué, la fermer en utilisant un prix de clôture haut fabriqué, puis encaisser le faux profit directement depuis le vault. Un seul lot a exécuté ce cycle cinq fois pour un total de 11,86 millions de dollars. Ils l’ont ensuite répété plusieurs fois encore.
Ce n’était ni un flash loan ni une manipulation de prix liée à une liquidité trop faible, le type d’exploit que la DeFi a passé des années à renforcer contre. C’était une clé de signature volée ou mal utilisée, un problème qu’aucune profondeur de liquidité on-chain ne peut prévenir.
Le vault détenait 32,7 millions de dollars avant l’attaque. Il en détient environ 9 millions maintenant, soit une baisse de 72%. L’attaquant a déjà converti la majorité du $USDC volé en $ETH et a commencé à le blanchir via Tornado Cash. Ostium a mis la négociation en pause dans l’heure et indique que les fonds des traders ainsi que les positions ouvertes restent gelés et intacts.
C’est la deuxième compromission d’un signataire d’oracle dans la DeFi en l’espace de deux semaines. Bonzo Finance a perdu 9 millions de dollars selon un mécanisme presque identique seulement quatre jours plus tôt. Les auditeurs continuent de vérifier le code. Presque personne n’audit qui détient les clés.