Ostium ha subito una perdita di 237.000 dollari a causa di una vulnerabilità nell’oracolo dei prezzi off-chain; dopo la migrazione, le operazioni di trading sono tornate alla normalità.

Ostium, una piattaforma di trading RWA basata su Arbitrum, ha subito una grave falla di sicurezza il 15 luglio che ha portato al prelievo di circa 237.500 USDC dal suo pool pubblico di fornitori di liquidità. 

L’attacco ha compromesso l’infrastruttura dei prezzi off-chain del protocollo, non i suoi contratti intelligenti o il sistema di governance on-chain, mettendo in evidenza come le piattaforme di finanza decentralizzata siano ancora vulnerabili alle debolezze delle infrastrutture IT tradizionali.

Secondo il rapporto pubblicato dalla società sulla piattaforma social X, l’attaccante ha sfruttato il sistema di regolamento prezzi pull-based di Ostium, che si affida a fonti dati off-chain per generare report sui prezzi firmati per i mercati, incluso BTC-USD. 

Dopo essere penetrato illegalmente nell’infrastruttura, l’attaccante ha inviato report falsi indicando il prezzo di Bitcoin rispettivamente a 5.000 dollari e 60.000 dollari—importi nettamente diversi dai prezzi reali di mercato. Tra le 14:18 e le 14:23 UTC, ha eseguito rapidamente otto operazioni di apertura e chiusura tramite un percorso di inoltro considerato legittimo dal protocollo. 

L’attaccante ha generato profitti illeciti per quasi 240.000 USDC aprendo una posizione a un prezzo manipolato e chiudendola a un altro prezzo manipolato, inducendo calcoli di P&L artificiosi in una transazione atomica, costringendo la vault OLP a corrispondere le somme.

Ostium sottolinea che l’evento non è stato causato da difetti logici nei contratti intelligenti né da compromissione dei meccanismi di multisig di governance. Durante tutto l’evento, le garanzie dei trader sono rimaste al sicuro nei contratti di trading, e le posizioni degli altri utenti non sono state influenzate da manomissioni dei prezzi.

Isolamento rapido on-chain e migrazione su infrastrutture rafforzate

Il sistema di monitoraggio automatico ha rilevato l’attività anomala entro pochi minuti, attivando un meccanismo di interruzione della vault che ha impedito ulteriori prelievi. Il team ha eseguito la prima transazione di isolamento on-chain alle 14:55 UTC, e ha bloccato tutti i contratti di trading entro 20 minuti dal test iniziale.

Dopo l’incidente, Ostium è migrata verso un nuovo ambiente di produzione con controlli multi-approvazione potenziati e il 23 luglio le operazioni sono riprese. Gli USDC rubati sono stati convertiti in ETH e distribuiti su una rete di wallet controllati dagli attaccanti, di cui una parte significativa è stata trasferita tramite Tornado Cash, complicando le operazioni di recupero. 

Ostium si è affidata alle società di cybersicurezza Mandiant e SEAL 911 e agli esperti blockchain zeroShadow e Collisionless per le indagini forensi e il tracciamento dei fondi. 

La società sta attivamente cooperando con le autorità, gli exchange e i bridge per congelare gli asset ove possibile e prevede di annunciare nei prossimi giorni un piano di recupero per i fornitori di liquidità colpiti.