Analisi dell’Exploit di Ostium
Ostium ha concluso che l’exploit avvenuto a luglio è stato causato da un’infrastruttura off-chain compromessa, piuttosto che da un difetto nei suoi smart contract. Un’indagine ha rivelato che l’attaccante ha manipolato la segnalazione dei prezzi per drenare 23,75 milioni di USDC dal vault di liquidità del protocollo.
Dettagli dell’Attacco
Secondo il post-mortem di Ostium pubblicato mercoledì, l’attaccante ha ottenuto accesso non autorizzato all’infrastruttura off-chain del protocollo e l’ha utilizzata per inviare rapporti di prezzo fraudolenti BTC-USD. Questi rapporti manipolati hanno permesso all’attaccante di generare profitti di trading artificiali a spese del vault pubblico OLP, mentre il protocollo non ha trovato prove di compromissione dei suoi smart contract o dei multisig di governance.
“La violazione iniziale è avvenuta al di fuori dell’infrastruttura on-chain del protocollo.”
Il team ha affermato che le sue scoperte non hanno identificato alcuna vulnerabilità nella logica degli smart contract o alcun compromesso riguardante i multisig responsabili della governance. Invece, l’attaccante ha abusato dei percorsi di forwarder già riconosciuti come validi dal protocollo.
Meccanismo dell’Exploit
Ostium ha spiegato che l’exploit è iniziato con una piccola transazione di test di 100 USDC, che ha generato circa 897,8 USDC di profitto artificiale prima che l’attaccante espandesse l’operazione. Dopo il test riuscito, l’attaccante ha eseguito il lotto principale di transazioni, trasferendo circa 11,9 milioni di USDC a un wallet beneficiario.
Ostium ha dichiarato che sono seguiti sei ulteriori cicli di exploit autonomi, portando la perdita totale dal vault OLP a 23,75 milioni di USDC.
Risposta e Misure di Sicurezza
Sebbene l’exploit sia riuscito a drenare fondi dal vault di liquidità, Ostium ha dichiarato che i suoi sistemi di monitoraggio automatico hanno rilevato l’attività anomala prima che potessero avvenire ulteriori prelievi. Il protocollo ha quindi interrotto il trading mentre l’indagine continuava e da allora è migrato a un nuovo ambiente di produzione con controlli di sicurezza aggiornati. Il trading è ripreso il 23 luglio dopo il completamento della migrazione.
Ostium ha anche affermato che il collaterale dei trader è rimasto non influenzato durante l’incidente, poiché il margine degli utenti è rimasto all’interno dei contratti di trading del protocollo piuttosto che nel pool di liquidità compromesso.
Piano di Recupero e Conclusioni
Il team ha aggiunto che sta ancora finalizzando un piano di recupero separato per i fornitori di liquidità i cui fondi sono stati colpiti dall’exploit. Secondo il protocollo, ulteriori dettagli saranno rilasciati in un aggiornamento dedicato.
Sebbene l’ultimo rapporto di Ostium attribuisca l’incidente all’accesso non autorizzato alla sua infrastruttura off-chain, le sue scoperte sono coerenti con il percorso di attacco precedentemente delineato da Blockaid, che ha concluso che le credenziali di firma compromesse hanno permesso ai rapporti di prezzo fraudolenti di superare il processo di verifica del protocollo.
L’incidente ha attirato l’attenzione sulla sicurezza dell’infrastruttura di supporto su cui i protocolli di finanza decentralizzata fanno affidamento per i dati di mercato esterni. Nel caso di Ostium, sia il post-mortem del protocollo che l’indagine precedente di Blockaid hanno concluso che l’exploit non è stato causato da difetti nei core smart contract.
L’exploit è avvenuto solo poche settimane dopo che Ostium ha ampliato la sua presenza istituzionale attraverso una partnership con Nasdaq annunciata a maggio. All’epoca, il protocollo aveva dichiarato che i dati di mercato di Nasdaq avrebbero supportato i prodotti perpetui azionari quotati sulla piattaforma.
Ostium ha anche rivelato durante quell’annuncio di aver elaborato oltre 50 miliardi di dollari in volume di trading cumulativo. Prima dell’exploit, il protocollo aveva raccolto circa 27,8 milioni di dollari da investitori tra cui General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute e GSR, secondo precedenti comunicazioni aziendali.
