Ostium: Etterforskning av Utnyttelse i Juli
Ostium har konkludert med at utnyttelsen i juli stammer fra kompromittert off-chain infrastruktur, snarere enn en feil i sine smarte kontrakter. Dette ble avdekket etter en etterforskning som viste at angriperen manipulerte prisrapporteringen for å tømme 23,75 millioner USDC fra protokollens likviditetsvakt.
«Angriperen fikk uautorisert tilgang til protokollens off-chain infrastruktur og brukte denne til å sende falske BTC-USD prisrapporter.»
De manipulerte rapportene tillot angriperen å skape kunstige handelsgevinster på bekostning av den offentlige OLP-vakten, mens protokollen ikke fant bevis for at dens smarte kontrakter eller styringsmultisigs hadde blitt kompromittert.
Detaljer om Utnyttelsen
Under sin etterforskning sa Ostium at det første bruddet skjedde utenfor protokollens on-chain infrastruktur. Teamet uttalte at deres funn ikke identifiserte noen sårbarhet i protokollens smarte kontraktslogikk eller noen kompromittering som involverte multisigs ansvarlig for å styre protokollen. I stedet misbrukte angriperen videresenderveier som protokollen allerede anerkjente som gyldige.
Utnyttelsen begynte med en liten testtransaksjon som involverte en 100 USDC posisjon, og produserte omtrent 897,8 USDC i kunstig gevinst før angriperen utvidet operasjonen. Etter den vellykkede testen utførte angriperen den primære batchen av transaksjoner og overførte omtrent 11,9 millioner USDC til en begunstiget lommebok.
Ostium rapporterte at seks ytterligere selvstendige utnyttelsessykluser fulgte, noe som brakte det totale tapet fra OLP-vakten til 23,75 millioner USDC.
Reaksjon og Sikkerhetstiltak
Selv om utnyttelsen lyktes i å tømme midler fra likviditetsvakten, sa Ostium at deres automatiserte overvåkingssystemer oppdaget den unormale aktiviteten før ytterligere uttak kunne finne sted. Protokollen stoppet deretter handelen mens etterforskningen fortsatte, og har siden migrert til et nytt produksjonsmiljø med oppdaterte sikkerhetskontroller. Handelen gjenopptok 23. juli etter at migreringen var fullført.
Ostium sa også at trader-kollateral forble upåvirket gjennom hendelsen, fordi brukerens margin forble inne i protokollens handelskontrakter snarere enn i den kompromitterte likviditetspoolen. Teamet la til at de fortsatt fullfører en egen gjenopprettingsplan for likviditetsleverandører hvis midler ble påvirket av utnyttelsen.
Konklusjon
Hendelsen har trukket oppmerksomhet mot sikkerheten til støttende infrastruktur som desentraliserte finansprotokoller er avhengige av for ekstern markedsdata. I Ostiums tilfelle konkluderte både protokollens post-mortem og Blockaids tidligere etterforskning med at utnyttelsen ikke stammer fra feil i de kjerne smarte kontraktene.
Utnyttelsen skjedde bare uker etter at Ostium utvidet sin institusjonelle tilstedeværelse gjennom et partnerskap med Nasdaq, kunngjort i mai. På den tiden sa protokollen at Nasdaqs markedsdata ville støtte aksje-perpetuelle produkter notert på plattformen.
Ostium avslørte også under den kunngjøringen at de hadde behandlet mer enn 50 milliarder dollar i kumulativ handelsvolum. Før utnyttelsen hadde protokollen samlet inn omtrent 27,8 millioner dollar fra investorer, inkludert General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute og GSR.
