Ostium a conclu que son exploit de juillet provenait d'une infrastructure hors chaîne compromise plutôt que d'une faille dans ses contrats intelligents, après qu'une enquête a révélé que l'attaquant avait manipulé les rapports de prix pour drainer 23,75 millions d'USDC du coffre de liquidité du protocole.
Résumé
- Ostium a déclaré que son enquête a révélé que l'exploit de juillet provenait d'une infrastructure hors chaîne compromise plutôt que d'une faille dans ses contrats intelligents.
- Des rapports de prix BTC/USD frauduleux ont permis à l'attaquant de drainer 23,75 millions d'USDC du coffre de liquidité OLP du protocole.
- Le protocole a déclaré que la surveillance automatisée a détecté l'attaque, que les échanges ont repris le 23 juillet et que les garanties des utilisateurs sont restées intactes.
- Un plan de récupération pour les fournisseurs de liquidité affectés est en cours de finalisation et sera partagé dans une mise à jour séparée.
Selon le post-mortem publié mercredi par Ostium, l'attaquant a obtenu un accès non autorisé à l'infrastructure hors chaîne du protocole et l'a utilisé pour soumettre des rapports de prix BTC-USD frauduleux.
Les rapports manipulés ont permis à l'attaquant de créer des profits commerciaux artificiels aux dépens du coffre OLP public, tandis que le protocole n'a trouvé aucune preuve que ses contrats intelligents ou ses multisigs de gouvernance aient été compromis.
Ostium affirme que l'exploit a contourné les systèmes hors chaîne
Au cours de son enquête, Ostium a déclaré que la brèche initiale s'est produite en dehors de l'infrastructure en chaîne du protocole. L'équipe a indiqué que ses conclusions n'ont identifié aucune vulnérabilité dans la logique des contrats intelligents du protocole ni aucune compromission impliquant les multisigs responsables de la gouvernance du protocole.
Au lieu de cela, l'attaquant a abusé des chemins de forwarder que le protocole reconnaissait déjà comme valides. Ostium a expliqué que l'exploit a commencé par une petite transaction de test impliquant une position de 100 USDC, produisant environ 897,8 USDC de profit artificiel avant que l'attaquant n'étende l'opération.
Après le test réussi, l'attaquant a exécuté le lot principal de transactions, transférant environ 11,9 millions d'USDC vers un portefeuille bénéficiaire. Ostium a déclaré que six cycles d'exploitation autonomes supplémentaires ont suivi, portant la perte totale du coffre OLP à 23,75 millions d'USDC.
Des rapports antérieurs de la société de sécurité blockchain Blockaid avaient attribué l'incident à une clé privée de signataire d'oracle compromise, affirmant que l'attaquant avait contourné le processus de vérification des prix du protocole en soumettant des rapports de prix manipulés via un forwarder PriceUpKeep enregistré. À l'époque, Blockaid estimait qu'entre 11,86 millions et 18 millions d'USDC avaient été retirés au cours d'environ 20 boucles de trading, sur la base de l'activité d'exploitation visible sur la chaîne alors que l'attaque était encore en cours.
La surveillance automatisée a limité les pertes supplémentaires
Bien que l'exploit ait réussi à drainer des fonds du coffre de liquidité, Ostium a déclaré que ses systèmes de surveillance automatisés ont détecté l'activité anormale avant que des retraits supplémentaires ne puissent avoir lieu. Le protocole a ensuite suspendu les échanges pendant que son enquête se poursuivait et a depuis migré vers un nouvel environnement de production avec des contrôles de sécurité mis à jour.
Les échanges ont repris le 23 juillet après la fin de la migration.
Ostium a également déclaré que les garanties des traders sont restées intactes tout au long de l'incident car les marges des utilisateurs sont restées dans les contrats de trading du protocole plutôt que dans le pool de liquidité compromis.
L'équipe a ajouté qu'elle finalise toujours un plan de récupération séparé pour les fournisseurs de liquidité dont les fonds ont été affectés par l'exploit. Selon le protocole, de plus amples détails seront publiés dans une mise à jour dédiée.
L'infrastructure Oracle est restée au cœur de l'attaque
Bien que le dernier rapport d'Ostium attribue l'incident à un accès non autorisé à son infrastructure hors chaîne, ses conclusions sont cohérentes avec le chemin d'attaque précédemment décrit par Blockaid, qui a conclu que des identifiants de signature compromis ont permis à des rapports de prix frauduleux de passer le processus de vérification du protocole.
Selon l'analyse précédente de Blockaid, l'attaquant a ouvert et fermé à plusieurs reprises des positions via des actions déléguées après avoir soumis des rapports de prix favorables datés dans le futur. Parce que les rapports manipulés semblaient valides pour le protocole, chaque cycle de trading a généré des profits pour l'attaquant tout en transférant les pertes vers le coffre de liquidité OLP au lieu de s'appuyer sur une vulnérabilité dans le code du contrat intelligent lui-même.
L'incident a attiré l'attention sur la sécurité de l'infrastructure de support sur laquelle les protocoles de finance décentralisée s'appuient pour les données de marché externes. Dans le cas d'Ostium, à la fois l'analyse post-mortem du protocole et l'enquête antérieure de Blockaid ont conclu que l'exploit ne provenait pas de défauts dans les contrats intelligents de base.
L'exploit d'Ostium a suivi le partenariat avec Nasdaq
L'exploit s'est produit seulement quelques semaines après qu'Ostium a élargi sa présence institutionnelle grâce à un partenariat avec Nasdaq annoncé en mai. À l'époque, le protocole a déclaré que les données de marché de Nasdaq soutiendraient les produits perpétuels sur actions listés sur la plateforme.
Ostium a également divulgué lors de cette annonce qu'il avait traité plus de 50 milliards de dollars de volume de transactions cumulé.
Avant l'exploit, le protocole avait levé environ 27,8 millions de dollars auprès d'investisseurs, notamment General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute et GSR, selon les divulgations précédentes de l'entreprise.
