Harga "Masa Depan" Menipu Oracle, Ostium Dikosongkan 2400 Juta Dolar dalam Lima Menit
**Ostium Rugi $24 Juta karena Oracle Data dari 'Masa Depan'**
Platform perdagangan perpetual on-chain Ostium mengalami insiden keamanan yang berlangsung hanya lima menit pada 15 Juli, menyebabkan kerugian besar pada vault likuiditas publiknya. Berbagai firma keamanan memperkirakan kerugian mencapai sekitar $24 juta.
Insiden ini unik karena bukan disebabkan oleh tanda tangan yang hilang, melainkan oleh data yang dimanipulasi yang disampaikan oleh *signer* (penanda tangan) yang sah. Menurut analisis awal Blockaid dan Cyvers, sebuah *PriceUpKeep forwarder* yang terdaftar mengirimkan laporan oracle yang sah secara kriptografis tetapi berisi data harga dengan *timestamp* di masa depan. Data beracun ini menciptakan keuntungan perdagangan palsu yang kemudian diselesaikan dan dibayar oleh vault likuiditas protocol.
Kode verifikasi Ostium (*OstiumVerifier*) memang memastikan laporan ditandatangani oleh pihak yang berwenang, namun tampaknya tidak memiliki pemeriksaan ketat untuk keabsahan harga, batasan *timestamp*, atau perlindungan dari penyimpangan data. Dengan kata lain, otentikasi berhasil, tetapi data itu sendiri berbahaya.
Setelah didapatkan, dana dalam USDC dikonversi menjadi ETH dan sebagian besar dicuci melalui Tornado Cash. Ostium mengklaim telah menghentikan perdagangan dalam satu jam, bekerja sama dengan pihak berwenang dan pakar keamanan, namun laporan pasca-kejadian resmi beserta rincian kerugian akhir dan penyebab mendasar masih belum dirilis.
Insiden ini menyoroti kerentanan dalam protokol DeFi ketika mekanisme kepercayaan (*trusted signers*) disalahgunakan atau tidak dilengkapi dengan kontrol yang memadai untuk memastikan keamanan data, bukan hanya keaslian tanda tangan.
marsbit07/17 05:35
