Platforma RWA perpetual Arbitrum Ostium straciła dziś prawie 18 milionów USDC po tym, jak napastnicy skompromitowali klucz podpisujący oracle i zmanipulowali ceny.
Przyczyną był skompromitowany prywatny klucz podpisujący oracle. Umożliwiło to napastnikowi ominięcie kontroli weryfikacyjnych i przesłanie korzystnych przyszłych cen. Wykonali około 20 powtarzających się transakcji poprzez delegowane działania, natychmiast zyskując na koszt protokołu bez rzeczywistej ekspozycji na rynek.
Eksploatacja wyczerpuje jedną trzecią skarbca w ciągu kilku godzin
Firma zabezpieczeń Blockaid jako pierwsza zgłosiła incydent, wskazując, że napastnik użył zarejestrowanego forwardera PriceUpKeep oraz autoryzowanych raportów oracle z przyszłą datą, aby wygenerować sztuczne zyski z handlu. To wywołało powtarzające się pętle otwierania i zamykania, które wyczerpały fundusze z głównego skarbca płynności Ostium.
Śledź nas na X, aby otrzymywać najnowsze wiadomości na bieżąco
Dane on-chain pokazują, że z skarbca wyciągnięto około 11,86M–18M USDC, co stanowi około 28% jego 63 milionów TVL w momencie ataku. Główna transakcja eksploatacyjna jest publicznie weryfikowalna na Arbiscan.
Ostium to wiodąca zdecentralizowana giełda perpetuals skoncentrowana na aktywach rzeczywistych, w tym akcjach, towarach, walutach i indeksach, zbudowana na Arbitrum.
Duże wsparcie spotyka duże niepowodzenie
Protokół zebrał około 27,8 miliona dolarów od inwestorów z najwyższej półki, w tym General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute i GSR.
Pomimo silnego wsparcia instytucjonalnego i wielu audytów, incydent ujawnia trwałe ryzyka w infrastrukturze RWA zależnej od oracle.
Eksploatacja jest obecnie przedmiotem aktywnego śledztwa. Użytkownicy powinni monitorować oficjalne kanały w celu uzyskania wskazówek dotyczących wypłat i aktualizacji bezpieczeństwa. Wydarzenie podkreśla potrzebę wzmocnionego zarządzania kluczami oracle oraz monitorowania w czasie rzeczywistym w hybrydowych protokołach DeFi.
W miarę jak sektor wieczystych RWA szybko rośnie, ta luka stanowi na czas przypomnienie: nawet dobrze finansowane projekty pozostają podatne na ataki kluczy prywatnych i oracle.
Źródło: BeInCrypto
