🚨 СРОЧНО: Ostium, біржа RWA-перпетуалів на Arbitrum, щойно втратила від $18M до $23.7M після того, як зловмисник скомпрометував її.

Ось що сталося: орáкулова система Ostium перевіряє, чи надійшов звіт про ціну від авторизованого підписанта. Вона не перевіряє, чи є сама ціна реальною. Зловмисник мав і ключ авторизованого орáкулового підписанта, і зареєстровану роль keeper під назвою PriceUpKeep — компонент, який відповідає за фактичне виконання угод. Ні те, ні інше ніколи не повинно бути само-призначуваним; обидва мають керуватися лише власним управлінням Ostium.
Маючи обидва ці елементи, зловмисник багаторазово запускав той самий цикл у межах однієї батчованої транзакції: відкрити позицію, використавши сфабриковану низьку ціну відкриття, закрити її, використавши сфабриковану високу ціну закриття, і забрати несправжній прибуток напряму з вольта. Один батч лише один раз прокрутив це п’ять разів — у сумі $11.86 мільйона. Після цього вони зробили це ще кілька разів.
Це не був флеш-кредит або маніпуляція ціною через низьку ліквідність — саме від такого експлойта DeFi роками посилював захист. Це був вкрадений або неправильно використаний ключ для підпису, від проблеми якого не захистить жодна глибина ончейн-ліквідності.
Перед атакою у вольті було $32.7 мільйона. Зараз там близько $9 мільйонів, падіння на 72%. Зловмисник уже конвертував більшість вкраденого $USDC у $ETH і почав відмивання через Tornado Cash. Ostium призупинила торгівлю протягом години і стверджує, що кошти трейдерів та відкриті позиції залишаються замороженими й незачепленими.
Це другий інцидент компрометації орáкулового підписанта в DeFi за два тижні. Bonzo Finance втратила $9 мільйонів через майже той самий механізм лише чотири дні тому. Аудитори продовжують перевіряти код. Майже ніхто не проводить аудит того, хто тримає ключі.