未来价格骗过预言机，Ostium 五分钟被掏空 2400 万美元
链上永续交易平台Ostium于7月15日发生持续五分钟的安全事件，造成其公共流动性金库重大损失。安全公司估算损失约2400万美元。
事件核心并非签名缺失，而是由授权的价格预言机转发器提交了带有“未来日期”的签名数据。这些经过有效签名的数据创造出虚假交易利润，导致协议金库为这些无效支付买单。这与前几日Hedera上Bonzo Lend协议因缺少有效签名而失窃的案例有本质区别。
Ostium的验证代码被指仅检查了签名者授权，却未对价格合理性、时间戳新鲜度等关键安全指标进行强制验证。这表明即使密码学认证通过，若数据本身存在恶意，协议仍面临巨大风险。
目前，被盗资金已被兑换为以太坊并部分转入混币器Tornado Cash。Ostium团队已暂停交易，并正与执法部门及安全机构合作。事件暴露了DeFi协议在依赖外部数据源时，对数据真实性验证的不足。
marsbit07/17 05:33
