Ostium ha attribuito l'exploit del 15 luglio, che ha prosciugato 23,75 milioni di USDC dal suo vault OLP, a una violazione dell'infrastruttura off-chain. La borsa di perpetual ha confermato che i propri smart contract e i multisig del protocollo non sono stati compromessi.

In un post-mortem pubblicato mercoledì, Ostium ha spiegato che l'attaccante ha ottenuto accesso non autorizzato ai sistemi off-chain e ha inviato report falsi sui prezzi BTC-USD al protocollo. L'incidente evidenzia una sfida ricorrente nella finanza decentralizzata, dove i protocolli possono essere sottoposti a rigorose verifiche degli smart contract ma rimanere esposti attraverso l'infrastruttura off-chain che fornisce dati di prezzo, regolamento o operativi ai sistemi on-chain.

Vettore di Attacco e Esecuzione

I report falsi sui prezzi hanno consentito all'attaccante di registrare profitti di trading artificiali. Tutti i fondi sottratti provenivano dal vault OLP pubblico, che fornisce liquidità per l'attività di trading sulla piattaforma.

L'attaccante ha utilizzato percorsi di inoltro già riconosciuti dal protocollo. Una posizione di test iniziale di 100 USDC ha generato circa 897,8 USDC di profitto fittizio prima che l'attaccante procedesse con transazioni di entità maggiore.

Il trasferimento principale ha inviato 11,9 milioni di USDC a un wallet beneficiario. L'attaccante ha successivamente eseguito sei ulteriori cicli di trading autonomi utilizzando lo stesso metodo, portando la perdita totale a 23,75 milioni di USDC.

Ostium ha dichiarato che i propri sistemi di monitoraggio automatizzato hanno rilevato l'attività sospetta e impedito ulteriori prelievi prima che fondi aggiuntivi potessero uscire dal vault.

Smart Contract e Fondi Utente Intatti

Le indagini di Ostium non hanno riscontrato evidenze di vulnerabilità nel codice degli smart contract. Il team ha inoltre segnalato l'assenza di segnali che gli attaccanti avessero preso il controllo dei wallet multisig utilizzati per gestire il protocollo.

Il collateral dei trader non è stato colpito dalla violazione. Il margine degli utenti è rimasto protetto all'interno dei contratti di trading del protocollo, con le perdite confinate ai fondi detenuti nel vault di liquidità OLP.

La piattaforma ha da allora migrato le proprie operazioni in un nuovo ambiente di produzione dotato di controlli di sicurezza aggiornati. Ostium ha ripreso i servizi di trading il 23 luglio dopo aver completato la transizione. La rapidità della ripresa, combinata con il piano di recupero in corso, sarà probabilmente osservata con attenzione dai provider di liquidità che valutano se rientrare nel protocollo.

Ostium sta preparando un piano di recupero separato per i provider di liquidità colpiti e ha dichiarato che pubblicherà ulteriori dettagli una volta finalizzato il piano.