Los precios del futuro engañan al oráculo, Ostium vaciado de 24 millones de dólares en cinco minutos
El protocolo de trading de perpetuos Ostium sufrió un incidente de seguridad de cinco minutos el 15 de julio, resultando en pérdidas significativas para su tesorería pública de proveedores de liquidez. Empresas de seguridad como Blockaid y Cyvers estiman el alcance de la explotación en aproximadamente 24 millones de dólares, atribuyéndola a un "oráculo con datos del futuro".
Según los análisis, un transmisor de precios autorizado envió un informe de oráculo firmado válidamente, pero que contenía precios con marcas de tiempo futuras, generando así ganancias comerciales falsas. Aunque la autenticación criptográfica confirmó que la firma provenía de una clave autorizada, el protocolo aparentemente carecía de controles separados para verificar la racionalidad del precio, la vigencia de la marca de tiempo o la seguridad de la liquidación. Este fallo permitió liquidar estas ganancias falsas contra la tesorería de liquidez.
Los fondos extraídos, principalmente en USDC, fueron cambiados por ETH y una parte significativa fue mezclada a través de Tornado Cash. El equipo de Ostium detuvo el trading en una hora y está colaborando con autoridades y expertos en seguridad. El incidente destaca la importancia de medidas adicionales como límites estrictos de tiempo, verificaciones de precios independientes y mecanismos de freno, incluso cuando los datos provienen de fuentes firmadas y autorizadas.
marsbit07/17 05:36
