🚨 BREAKING: Ostium, bursa perpetuals RWA di Arbitrum, baru saja kehilangan senilai $18M hingga $23,7 juta setelah seorang penyerang membobol sistemnya.

Berikut yang terjadi: Sistem oracle Ostium memeriksa apakah laporan harga berasal dari penandatangan yang berwenang. Sistem ini tidak memeriksa apakah harga itu sendiri nyata. Penyerang memegang kunci oracle signer yang berwenang dan peran keeper terdaftar bernama PriceUpKeep, komponen yang benar-benar bertanggung jawab mengeksekusi perdagangan. Keduanya seharusnya tidak pernah bisa diambil alih sendiri; keduanya dimaksudkan hanya dikendalikan oleh tata kelola Ostium.
Dengan kedua komponen itu, penyerang menjalankan loop yang sama berulang kali di dalam transaksi batched tunggal: membuka posisi menggunakan harga pembukaan yang dipalsukan rendah, menutupnya menggunakan harga penutupan yang dipalsukan tinggi, lalu mengambil keuntungan palsu langsung dari brankas. Satu batch saja menjalankan ini lima kali, dengan total $11,86 juta. Setelah itu, mereka melakukannya berkali-kali lagi.
Ini bukan flash loan atau manipulasi harga akibat likuiditas tipis, jenis eksploit yang DeFi sudah bertahun-tahun diperkuat untuk melawannya. Ini adalah kunci tanda tangan yang dicuri atau disalahgunakan, masalah yang tidak bisa dilindungi oleh kedalaman likuiditas on-chain mana pun.
Brankas berisi $32,7 juta sebelum serangan. Sekarang brankas hanya menyisakan sekitar $9 juta, turun 72%. Penyerang sudah mengonversi sebagian besar hasil curian $USDC menjadi $ETH dan mulai mencucinya melalui Tornado Cash. Ostium menghentikan perdagangan dalam waktu kurang dari satu jam dan mengatakan dana trader serta posisi terbuka tetap dibekukan dan tidak rusak.
Ini adalah kompromi signer oracle kedua di DeFi dalam dua minggu. Bonzo Finance kehilangan $9 juta dengan mekanisme yang hampir sama hanya empat hari sebelumnya. Auditor terus memeriksa kode. Hampir tidak ada yang mengaudit siapa saja yang memegang kunci.