DeFi-протокол Ostium зазнав масштабного злому, унаслідок якого з публічного пулу ліквідності OLP було викрадено близько $23,75 млн.

За даними дослідників, після атаки зловмисник обміняв усі викрадені 23,75 млн USDC на 12 084 ETH за середньою ціною близько $1966 за монету. Значну частину Ethereum було переказано до криптоміксера Tornado Cash для приховування походження коштів.

Ostium — це платформа для синтетичних деривативів, де користувачі можуть відкривати позиції на акції таких компаній, як Tesla, Nvidia або Meta. За інформацією дослідницької компанії Coinminutes, причиною атаки стала маніпуляція механізмом оновлення цінового оракула.

Зловмисник передав смартконтракту фальшиві цінові дані з майбутніми часовими мітками. Через це система помилково визначила, що трейдер відкрив позицію на біткоїн за значно нижчою ціною близько $5000, а закрив із «космічним» прибутком. Смартконтракт сприйняв цей вигаданий прибуток як реальний і автоматично схвалив виплату коштів із пулу ліквідності.

За оцінками дослідників, уся схема — від підміни цінових даних до виведення активів — була реалізована в межах однієї транзакції, що не залишило системі часу для реагування.

Розробник Ostium під псевдонімом kaledora повідомив, що інцидент стався між 14:18 та 14:23 UTC. Команда виявила проблему протягом кількох хвилин і менш ніж за годину скоординувала зупинку торгових смартконтрактів.

Представник проєкту заявив, що Ostium співпрацює з правоохоронними органами, командою реагування SEAL 911 та незалежними фахівцями з кібербезпеки для розслідування атаки та відстеження викрадених активів. Команда подякувала емітентам стейблкоїнів, партнерам із безпеки та іншим учасникам екосистеми, які долучилися до ліквідації наслідків інциденту.

У окремому оновленні Ostium повідомила, що торгівля на платформі залишається призупиненою. Водночас відкриті позиції користувачів збережені, а їхня маржа перебуває у заморожених торгових смартконтрактах і не була втрачена під час атаки. Команда працює над відновленням роботи протоколу та готує план компенсації втрат із публічного пулу ліквідності.

Розробники наголосили, що кілька команд цілодобово відстежують переміщення викрадених коштів і координують дії зі слідчими й експертами з безпеки.