Ostium ist zu dem Schluss gekommen, dass der Exploit im Juli von einer kompromittierten Off-Chain-Infrastruktur und nicht von einem Fehler in seinen Smart Contracts herrührte, nachdem eine Untersuchung ergab, dass der Angreifer die Preisberichterstattung manipulierte, um 23,75 Millionen USDC aus dem Liquiditätsvault des Protokolls abzuziehen.
Zusammenfassung
- Ostium erklärte, dass seine Untersuchung ergab, dass der Exploit im Juli von einer kompromittierten Off-Chain-Infrastruktur und nicht von einem Fehler in seinen Smart Contracts herrührte.
- Betrügerische BTC-USD-Preisberichte ermöglichten es dem Angreifer, 23,75 Millionen USDC aus dem OLP-Liquiditätsvault des Protokolls abzuziehen.
- Das Protokoll gab an, dass die automatisierte Überwachung den Angriff erkannte, der Handel am 23. Juli wieder aufgenommen wurde und die Sicherheiten der Nutzer nicht betroffen waren.
- Ein Wiederherstellungsplan für betroffene Liquiditätsanbieter wird derzeit finalisiert und in einem separaten Update veröffentlicht.
Laut Ostiums am Mittwoch veröffentlichtem Post-Mortem erlangte der Angreifer unbefugten Zugriff auf die Off-Chain-Infrastruktur des Protokolls und nutzte diesen, um betrügerische BTC-USD-Preisberichte einzureichen.
Die manipulierten Berichte ermöglichten es dem Angreifer, künstliche Handelsgewinne auf Kosten des öffentlichen OLP-Vaults zu erzielen, während das Protokoll keine Hinweise darauf fand, dass seine Smart Contracts oder Governance-Multisigs kompromittiert worden waren.
Ostium sagt, Exploit umging Off-Chain-Systeme
Während seiner Untersuchung stellte Ostium fest, dass der erste Einbruch außerhalb der On-Chain-Infrastruktur des Protokolls stattfand. Das Team erklärte, dass seine Ergebnisse keine Schwachstelle in der Smart-Contract-Logik des Protokolls oder eine Kompromittierung der für die Governance des Protokolls verantwortlichen Multisigs identifizierten.
Stattdessen missbrauchte der Angreifer Forwarder-Pfade, die das Protokoll bereits als gültig anerkannt hatte. Ostium erklärte, dass der Exploit mit einer kleinen Testtransaktion mit einer 100-USDC-Position begann, die einen künstlichen Gewinn von etwa 897,8 USDC erzielte, bevor der Angreifer die Operation ausweitete.
Nach dem erfolgreichen Test führte der Angreifer die primäre Charge von Transaktionen durch und überwies etwa 11,9 Millionen USDC an eine Begünstigten-Wallet. Ostium sagte, dass sechs weitere eigenständige Exploit-Zyklen folgten, was den Gesamtverlust aus dem OLP-Vault auf 23,75 Millionen USDC brachte.
Frühere Berichte der Blockchain-Sicherheitsfirma Blockaid hatten den Vorfall auf einen kompromittierten privaten Schlüssel eines Oracle-Signierers zurückgeführt und sagten, der Angreifer habe den Preisüberprüfungsprozess des Protokolls umgangen, indem er manipulierte Preisberichte über einen registrierten PriceUpKeep-Forwarder einreichte. Zu diesem Zeitpunkt schätzte Blockaid, dass zwischen 11,86 Millionen und 18 Millionen USDC während etwa 20 Handelszyklen abgehoben wurden, basierend auf der Exploit-Aktivität, die on-chain sichtbar war, während der Angriff noch im Gange war.
Automatisierte Überwachung begrenzte zusätzliche Verluste
Während der Exploit erfolgreich Gelder aus dem Liquiditätsvault abzog, sagte Ostium, dass seine automatisierten Überwachungssysteme die anormale Aktivität erkannten, bevor weitere Abhebungen stattfinden konnten. Das Protokoll setzte daraufhin den Handel aus, während seine Untersuchung fortgesetzt wurde, und ist seitdem in eine neue Produktionsumgebung mit aktualisierten Sicherheitskontrollen migriert.
Der Handel wurde am 23. Juli nach Abschluss der Migration wieder aufgenommen.
Ostium sagte auch, dass die Sicherheiten der Händler während des gesamten Vorfalls nicht betroffen waren, da die Margen der Nutzer in den Handelsverträgen des Protokolls und nicht im kompromittierten Liquiditätspool verblieben.
Das Team fügte hinzu, dass es noch einen separaten Wiederherstellungsplan für Liquiditätsanbieter finalisiert, deren Gelder durch den Exploit betroffen waren. Laut dem Protokoll werden weitere Details in einem speziellen Update veröffentlicht.
Oracle-Infrastruktur blieb zentral für den Angriff
Obwohl Ostiums neuester Bericht den Vorfall auf unbefugten Zugriff auf seine Off-Chain-Infrastruktur zurückführt, stimmen seine Ergebnisse mit dem zuvor von Blockaid skizzierten Angriffspfad überein, der zu dem Schluss kam, dass kompromittierte Signier-Anmeldeinformationen es betrügerischen Preisberichten ermöglichten, den Überprüfungsprozess des Protokolls zu passieren.
Laut Blockaids früherer Analyse öffnete und schloss der Angreifer wiederholt Positionen durch delegierte Aktionen, nachdem er günstige zukünftige Preisberichte eingereicht hatte. Da die manipulierten Berichte für das Protokoll gültig erschienen, generierte jeder Handelszyklus Gewinne für den Angreifer, während Verluste auf den OLP-Liquiditätsvault übertragen wurden, anstatt auf eine Schwachstelle im Smart-Contract-Code selbst zurückzugreifen.
Der Vorfall hat die Aufmerksamkeit auf die Sicherheit der unterstützenden Infrastruktur gelenkt, auf die dezentrale Finanzprotokolle für externe Marktdaten angewiesen sind. Im Fall von Ostium kamen sowohl die Nachanalyse des Protokolls als auch die frühere Untersuchung von Blockaid zu dem Schluss, dass der Exploit nicht auf Fehler in den Kern-Smart-Contracts zurückzuführen war.
Ostium-Exploit folgte auf Nasdaq-Partnerschaft
Der Exploit ereignete sich nur Wochen, nachdem Ostium seine institutionelle Präsenz durch eine im Mai angekündigte Partnerschaft mit Nasdaq ausgebaut hatte. Damals erklärte das Protokoll, dass die Marktdaten von Nasdaq die auf der Plattform gelisteten Aktien-Perpetual-Produkte unterstützen würden.
Ostium gab bei dieser Ankündigung auch bekannt, dass es ein kumuliertes Handelsvolumen von über 50 Milliarden US-Dollar verarbeitet hatte.
Vor dem Exploit hatte das Protokoll nach früheren Unternehmensangaben rund 27,8 Millionen US-Dollar von Investoren wie General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute und GSR eingesammelt.
