🚨 突發：在 Arbitrum 上的 RWA 永續合約交易所 Ostium 剛剛在遭攻擊者入侵後，損失介於 $18M 和 2300 萬美元之間。

以下是發生了什麼：Ostium 的預言機系統會檢查價格報告是否來自授權簽名者。它不會檢查價格本身是否真實。攻擊者同時持有授權預言機簽名者金鑰，以及一個名為 PriceUpKeep 的已註冊保管員角色，負責實際執行交易。這兩者都不應該能被自行指派；它們都原本應該只能由 Ostium 自己的治理來控制。
手上拿到這兩樣之後，攻擊者在單次批次交易內重複跑同一個迴圈：用一個偽造的低開倉價格開倉，用一個偽造的高收倉價格平倉，並直接把虛假的獲利從金庫中提走。光是其中一個批次就執行了五次，合計 1186 萬美元。他們之後還做了不止一次。
這不是閃電貸或流動性偏薄導致的價格操縱，這類剛好是 DeFi 花了多年時間加固防禦的攻擊方式。這是被盜或遭濫用的簽名金鑰問題，沒有任何鏈上流動性深度能保護免受其害。
攻擊前金庫持有 3270 萬美元。現在大約只有 900 萬美元，下降 72%。攻擊者已經把大部分被偷的 $USDC 轉成 $ETH ，並開始透過 Tornado Cash 進行洗錢。Ostium 在一小時內暫停交易，並表示交易者資金與未平倉部位仍然凍結且完整。
這是兩週內 DeFi 發生的第二起預言機簽名者金鑰遭入侵事件。Bonzo Finance 早在四天前就因幾乎相同的機制損失了 900 萬美元。稽核人員持續檢查程式碼。幾乎沒有人在審計誰持有金鑰。