Цена из будущего обманула оракул, Ostium потерял 24 миллиона долларов за пять минут
Криптоплатформа Ostium для перпетуальных контрактов пострадала от взлома, в результате которого её общедоступная казна ликвидности (OLP) потеряла около 24 миллионов долларов США. Инцидент произошел 15 июля и длился всего пять минут.
Согласно данным компаний безопасности Blockaid и Cyvers, атака использовала уязвимость в механизме оракула. Зарегистрированный подписант (PriceUpKeep) отправил авторизованный отчёт оракула с данными о ценах из «будущего». Эти поддельные данные создали искусственную прибыль от сделок, которую протокол автоматически выплатил, истощив казну.
Важно отметить, что проблема заключалась не в отсутствии подписи, а в токсичных данных, отправленных *авторизованным* источником. Проверка криптографической подписи прошла успешно, но в коде контракта, по всей видимости, отсутствовали дополнительные проверки на разумность цены и свежесть временных меток, что позволило принять фальшивые данные.
Средства были выведены в виде USDC, конвертированы в ETH (около 12 080 ETH) и частично отправлены в миксер Tornado Cash. Команда Ostium оперативно приостановила торговлю и сотрудничает с правоохранительными органами и экспертами по безопасности. Официальный отчёт о расследовании и окончательная сумма ущерба от команды пока не опубликованы.
marsbit07/17 05:34
