🚨 DESFECHO: Ostium, uma exchange de RWA perpétuos na Arbitrum, acabou de perder entre $18M e $23.7M após um atacante ter comprometido.

Isto é o que aconteceu: O sistema de oráculos da Ostium verifica se um relatório de preços veio de um signatário autorizado. Não verifica se o próprio preço é real. O atacante tinha tanto uma chave de signatário autorizada de oráculo como uma função registada chamada PriceUpKeep, o componente responsável por executar, de facto, as ordens. Nenhuma dessas duas coisas deveria alguma vez ser atribuível a si própria; ambas destinam-se a ser controladas apenas pela governação da Ostium.
Com ambas as peças em mãos, o atacante executou o mesmo ciclo repetidamente dentro de transacções batched únicas: abriu uma posição usando um preço de abertura falsificado e baixo, fechou-a usando um preço de fecho falsificado e alto, e recolheu o lucro falso directamente do cofre. Apenas um batch fez este ciclo cinco vezes, totalizando $11.86 milhões. Fizeram-no várias mais vezes depois disso.
Isto não foi uma manipulação de flash loan nem de preço com baixa liquidez, o tipo de exploração contra a qual a DeFi tem vindo a endurecer ao longo de anos. Isto foi uma chave de assinatura roubada ou mal utilizada, um problema que nenhuma profundidade de liquidez on-chain pode proteger.
O cofre tinha $32.7 milhões antes do ataque. Agora tem cerca de $9 milhões, uma queda de 72%. O atacante já converteu a maior parte do $USDC roubado em $ETH e começou a lavá-lo através do Tornado Cash. A Ostium suspendeu a negociação dentro da hora e diz que os fundos dos traders e as posições em aberto permanecem congelados e intactos.
Este é o segundo compromisso de signatário de oráculos na DeFi em duas semanas. A Bonzo Finance perdeu $9 milhões com quase o mesmo mecanismo apenas quatro dias antes. Os auditores continuam a verificar o código. Quase ninguém está a auditar quem tem as chaves.