🚨 СРОЧНО: Ostium, биржа RWA-перпетуалс на Arbitrum, только что потеряла от $18M до 23,7 млн долларов после того, как атакующий скомпрометировал систему.

Вот что произошло: оракульная система Ostium проверяет, поступал ли ценовой отчёт от авторизованного подписанта. Но она не проверяет, является ли сама цена реальной. Атакующий получил в распоряжение и ключ авторизованного оракульного подписанта, и зарегистрированную роль keeper под названием PriceUpKeep — компонент, который отвечает за фактическое исполнение сделок. Ни то, ни другое никогда не должно позволять самоназначение; оба должны контролироваться только собственной системой управления Ostium.
Имея обе части, атакующий многократно запускал один и тот же цикл внутри отдельных батчированных транзакций: открыть позицию, используя сфабрикованную низкую цену открытия, закрыть её, используя сфабрикованную высокую цену закрытия, и забрать фиктивную прибыль напрямую из vault. Один батч за раз прокрутил это пять раз на общую сумму 11,86 млн долларов. После этого они сделали так ещё несколько раз.
Это не был флэш-кредит и не манипуляция ценой на тонкой ликвидности — тот тип эксплойта, против которого DeFi годами усиленно защищаеться. Это была украденная или неправильно использованная ключевая пара подписи — проблема, от которой не спасает никакая глубина on-chain ликвидности.
Перед атакой vault содержал 32,7 млн долларов. Сейчас там около 9 млн долларов — падение на 72%. Атакующий уже конвертировал большую часть украденного $USDC в $ETH и начал отмывать её через Tornado Cash. Ostium приостановила торговлю в течение часа и заявляет, что средства трейдеров и открытые позиции остаются замороженными и неповреждёнными.
Это второй случай компрометации оракульного подписанта в DeFi за две недели. Bonzo Finance потеряла 9 млн долларов из-за почти того же механизма всего четыре дня назад. Аудиторы продолжают проверять код. Почти никто не проводит аудит того, у кого находятся ключи.