Ostium-Exploit: Untersuchungsergebnisse
Ostium hat festgestellt, dass der Exploit im Juli auf eine kompromittierte Off-Chain-Infrastruktur zurückzuführen ist und nicht auf einen Fehler in seinen Smart Contracts. Eine Untersuchung ergab, dass der Angreifer die Preisberichterstattung manipulierte, um 23,75 Millionen USDC aus dem Liquiditätstresor des Protokolls abzuziehen.
Laut dem am Mittwoch veröffentlichten Nachbericht von Ostium erhielt der Angreifer unbefugten Zugang zur Off-Chain-Infrastruktur des Protokolls und nutzte diesen, um betrügerische BTC-USD-Preisberichte einzureichen.
Diese manipulierten Berichte ermöglichten es dem Angreifer, künstliche Handelsgewinne auf Kosten des öffentlichen OLP-Tresors zu erzielen, während das Protokoll keine Beweise dafür fand, dass seine Smart Contracts oder Governance-Multisigs kompromittiert worden waren.
Details des Angriffs
Während seiner Untersuchung erklärte Ostium, dass der ursprüngliche Verstoß außerhalb der On-Chain-Infrastruktur des Protokolls stattfand. Das Team stellte fest, dass seine Erkenntnisse keine Schwachstelle in der Logik der Smart Contracts des Protokolls oder einen Kompromiss der Multisigs, die für die Governance des Protokolls verantwortlich sind, identifizierten.
Stattdessen missbrauchte der Angreifer Weiterleitungswege, die das Protokoll bereits als gültig erkannte. Ostium erklärte, dass der Exploit mit einer kleinen Testtransaktion begann, die eine Position von 100 USDC betraf und etwa 897,8 USDC an künstlichem Gewinn erzeugte, bevor der Angreifer die Operation ausweitete.
Nach dem erfolgreichen Test führte der Angreifer die Hauptgruppe von Transaktionen aus und übertrug etwa 11,9 Millionen USDC an eine Begünstigten-Wallet. Ostium berichtete, dass sechs weitere eigenständige Exploit-Zyklen folgten, wodurch der Gesamtschaden aus dem OLP-Tresor auf 23,75 Millionen USDC anstieg.
Frühere Berichte und Reaktionen
Frühere Berichte des Blockchain-Sicherheitsunternehmens Blockaid hatten den Vorfall einem kompromittierten privaten Schlüssel eines Oracle-Signierers zugeschrieben und gesagt, dass der Angreifer den Preisverifizierungsprozess des Protokolls umging, indem er manipulierte Preisberichte über einen registrierten PriceUpKeep-Weiterleiter einreichte.
Zu diesem Zeitpunkt schätzte Blockaid, dass zwischen 11,86 Millionen und 18 Millionen USDC während etwa 20 Handelszyklen abgehoben wurden, basierend auf den während des Angriffs sichtbaren Exploit-Aktivitäten on-chain.
Obwohl der Exploit erfolgreich Gelder aus dem Liquiditätstresor abgezogen hat, sagte Ostium, dass seine automatisierten Überwachungssysteme die abnormale Aktivität erkannten, bevor weitere Abhebungen stattfinden konnten.
Das Protokoll stoppte daraufhin den Handel, während die Untersuchung fortgesetzt wurde, und hat seitdem in eine neue Produktionsumgebung mit aktualisierten Sicherheitskontrollen migriert. Der Handel wurde am 23. Juli nach Abschluss der Migration wieder aufgenommen.
Folgen und Ausblick
Ostium erklärte auch, dass die Sicherheiten der Händler während des Vorfalls unbeeinträchtigt blieben, da die Benutzer-Margen innerhalb der Handelsverträge des Protokolls blieben und nicht im kompromittierten Liquiditätspool. Das Team fügte hinzu, dass es noch einen separaten Wiederherstellungsplan für Liquiditätsanbieter finalisiert, deren Gelder von dem Exploit betroffen waren.
Laut dem Protokoll werden weitere Details in einem speziellen Update veröffentlicht. Obwohl Ostiums letzter Bericht den Vorfall einem unbefugten Zugriff auf seine Off-Chain-Infrastruktur zuschreibt, stimmen die Erkenntnisse mit dem Angriffsweg überein, der zuvor von Blockaid skizziert wurde.
Blockaid kam zu dem Schluss, dass kompromittierte Signaturdaten es ermöglichten, betrügerische Preisberichte durch den Verifizierungsprozess des Protokolls zu schleusen. Laut Blockaids früherer Analyse öffnete und schloss der Angreifer wiederholt Positionen durch delegierte Aktionen, nachdem er vorteilhafte zukünftige Preisberichte eingereicht hatte.
Da die manipulierten Berichte dem Protokoll gültig erschienen, generierte jeder Handelszyklus Gewinne für den Angreifer, während Verluste an den OLP-Liquiditätstresor übertragen wurden, anstatt sich auf eine Schwachstelle im Code der Smart Contracts selbst zu verlassen.
Der Vorfall hat die Aufmerksamkeit auf die Sicherheit der unterstützenden Infrastruktur gelenkt, auf die dezentrale Finanzprotokolle für externe Marktdaten angewiesen sind. Im Fall von Ostium kamen sowohl der Nachbericht des Protokolls als auch die frühere Untersuchung von Blockaid zu dem Schluss, dass der Exploit nicht aus Fehlern in den Kern-Smart Contracts resultierte.
Der Exploit ereignete sich nur Wochen, nachdem Ostium seine institutionelle Präsenz durch eine Partnerschaft mit Nasdaq, die im Mai angekündigt wurde, erweitert hatte. Zu diesem Zeitpunkt sagte das Protokoll, dass die Marktdaten von Nasdaq die auf der Plattform gelisteten Equity-Perpetual-Produkte unterstützen würden.
Ostium gab auch während dieser Ankündigung bekannt, dass es mehr als 50 Milliarden US-Dollar an kumuliertem Handelsvolumen verarbeitet hatte. Vor dem Exploit hatte das Protokoll etwa 27,8 Millionen US-Dollar von Investoren wie General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute und GSR gesammelt, so frühere Unternehmensoffenlegungen.
