Dias após sofrer um ataque que resultou na perda de 23.752.746 USDC, a Ostium divulgou o post-mortem do incidente e explicou como a exploração aconteceu. Segundo o protocolo, o invasor comprometeu a infraestrutura de preços fora da blockchain e conseguiu enviar dados falsos que passaram pelas verificações do sistema.
A análise mostra que o problema não estava nos contratos inteligentes. Em vez disso, a exploração ocorreu porque componentes responsáveis pelo fornecimento de preços foram comprometidos, permitindo que informações manipuladas fossem aceitas como válidas durante a liquidação das operações.
Post-mortem da Ostium detalha como o ataque aconteceu
A Ostium utiliza preços fornecidos por sistemas externos para calcular entradas, saídas, liquidações e lucros em contratos perpétuos negociados na rede Arbitrum. Esses valores são fundamentais para determinar quanto cada operação deve receber ou pagar.
De acordo com o relatório, o invasor obteve acesso às credenciais de um assinante autorizado do oráculo e de um componente chamado PriceUpKeep Forwarder. Com essas permissões, foi possível enviar relatórios com preços futuros ou manipulados que passaram pela verificação do protocolo.
Embora o sistema confirmasse que os dados haviam sido assinados por uma fonte autorizada, ele não verificava de forma independente se aqueles preços correspondiam ao mercado. Ou seja, credenciais legítimas fizeram com que informações falsas fossem tratadas como confiáveis, gerando lucros artificiais pagos pelo cofre de liquidez da plataforma.
A Galaxy Research identificou oito transferências para uma única carteira, incluindo pagamentos de aproximadamente US$ 11,86 milhões, US$ 4,49 milhões e US$ 3,59 milhões, que totalizaram quase US$ 23,75 milhões em perdas para o protocolo.
Post-mortem da Ostium aponta próximos passos
A Ostium afirmou que os fundos depositados pelos traders permaneceram protegidos em um contrato separado e não foram afetados pelo incidente. Ainda assim, as negociações seguem suspensas, enquanto posições abertas permanecem congeladas até a reativação da plataforma.
Segundo a equipe, quando as operações forem retomadas, as posições serão recalculadas utilizando o preço de reabertura, e não as cotações registradas durante o período de paralisação.
O relatório também informa que os ativos desviados foram convertidos em aproximadamente 12.084 ETH, com a maior parte dos recursos enviada ao Tornado Cash, dificultando o rastreamento e uma eventual recuperação.
Além de reforçar os controles sobre credenciais privilegiadas, a Ostium informou que pretende implementar mecanismos adicionais de verificação independente dos preços antes de restabelecer as negociações.
