Ostium 已得出結論，其 7 月的攻擊事件源於鏈下基礎設施遭到入侵，而非其智能合約存在缺陷。調查發現，攻擊者操縱價格報告，從協議的流動性金庫中竊取了 2375 萬 USDC。
摘要
- Ostium 表示，其調查發現 7 月的攻擊源於鏈下基礎設施遭到入侵，而非其智能合約存在缺陷。
- 虛假的 BTC-USD 價格報告使攻擊者從協議的 OLP 流動性金庫中竊取了 2375 萬 USDC。
- 該協議表示，自動監控系統檢測到了此次攻擊，交易已於 7 月 23 日恢復，用戶抵押品未受影響。
- 針對受影響流動性提供者的恢復計劃正在最終確定中，將在後續更新中另行公佈。
根據 Ostium 於週三發佈的事後分析報告，攻擊者未經授權訪問了協議的鏈下基礎設施，並利用其提交了虛假的 BTC-USD 價格報告。
這些被操縱的報告使攻擊者能夠以公共 OLP 金庫為代價創造虛假交易利潤，而協議未發現其智能合約或治理多重簽名錢包遭到入侵的證據。
Ostium 表示攻擊繞過了鏈下系統
在調查過程中，Ostium 表示最初的入侵發生在協議的鏈上基礎設施之外。團隊指出，其調查結果未發現協議智能合約邏輯存在任何漏洞，也未發現負責治理協議的多重簽名錢包遭到入侵。
相反，攻擊者濫用了協議已識別為有效的轉發路徑。Ostium 解釋稱，攻擊始於一筆涉及 100 USDC 頭寸的小額測試交易，在攻擊者擴大操作之前，該交易產生了約 897.8 USDC 的虛假利潤。
測試成功後，攻擊者執行了主要批次交易，將約 1190 萬 USDC 轉移到一個受益錢包。Ostium 表示，隨後又進行了六次獨立的攻擊循環，導致 OLP 金庫的總損失達到 2375 萬 USDC。
區塊鏈安全公司 Blockaid 早前的報告將此事件歸因於預言機簽名者私鑰遭到入侵，稱攻擊者通過註冊的 PriceUpKeep 轉發器提交被操縱的價格報告，繞過了協議的價格驗證過程。當時，Blockaid 根據攻擊仍在進行時鏈上可見的攻擊活動估計，在約 20 個交易循環中，有 1186 萬至 1800 萬 USDC 被提取。
自動監控限制了進一步損失
儘管攻擊成功從流動性金庫中竊取了資金，但 Ostium 表示其自動監控系統在進一步提款發生前檢測到了異常活動。協議隨後暫停了交易，同時繼續調查，並已遷移到一個具有更新安全控制措施的新生產環境。
遷移完成後，交易於 7 月 23 日恢復。
Ostium 還表示，在整個事件中，交易者抵押品未受影響，因為用戶保證金仍保留在協議的交易合約中，而非受影響的流動性池中。
團隊補充說，他們仍在最終確定針對資金受攻擊影響的流動性提供者的單獨恢復計劃。根據協議，更多細節將在專門的更新中發佈。
預言機基礎設施仍是攻擊核心
儘管 Ostium 的最新報告將事件歸因於其鏈下基礎設施遭到未經授權訪問，但其調查結果與 Blockaid 先前概述的攻擊路徑一致，後者得出結論認為，被入侵的簽名憑證使虛假價格報告得以通過協議的驗證過程。
根據 Blockaid 早前的分析，攻擊者在提交有利的未來日期價格報告後，通過委託操作反覆開倉和平倉。由於被操縱的報告對協議而言看似有效，每個交易循環都為攻擊者創造了利潤，同時將損失轉移給 OLP 流動性金庫，而非依賴智能合約代碼本身的漏洞。
此事件引發了人們對去中心化金融協議所依賴的外部市場數據支援基礎設施安全性的關注。就 Ostium 而言，協議的事後分析與 Blockaid 的早期調查均得出結論，認為此次攻擊並非源於核心智能合約的缺陷。
Ostium 遭攻擊事件發生在與納斯達克合作之後
此次攻擊發生在 Ostium 於 5 月宣布與納斯達克合作以擴展其機構影響力僅數週後。當時，該協議表示納斯達克的市場數據將支援平台上上市的股票永續合約產品。
Ostium 也在該公告中透露，其累計交易量已超過 500 億美元。
根據公司先前的披露，在遭受攻擊之前，該協議已從包括 General Catalyst、Jump Crypto、Coinbase Ventures、Wintermute 和 GSR 在內的投資者處籌集了約 2780 萬美元。
