미래 가격이 오라클을 속여, Ostium 5 분 만에 2400 만 달러 털려

2026.07.17

미래 가격이 오라클을 속여, Ostium 5 분 만에 2400 만 달러 털려

Ostium 은 현재까지 최종 손실 산정과 사후 보고서를 공개하지 않아 서명자 권한 남용에 대한 큰 의문을 남겼습니다.

2026.07.17 - 05:27:08

Ostium预言机

Web3 심층 보도에 집중하고 흐름을 통찰

Ostium 은 현재까지 최종 손실 산정과 사후 보고서를 공개하지 않아 서명자 권한 남용에 대한 큰 의문을 남겼습니다.

저자: CryptoSlate

번역: TechFlow

TechFlow 편집자 주: 이는 서명 누락이 아니라, 승인된 서명자가 "미래에서 온" 가격 데이터를 제출했기 때문입니다. 검증은 통과했지만 데이터 자체가 유독할 때, DeFi 프로토콜의 해자는 어디에 있을까요? Ostium 은 아직 최종 손실 계산과 사후 보고서를 공개하지 않아 서명자 권한 남용에 대한 큰 의문을 남겼습니다.

온체인 영구 거래 플랫폼 Ostium 은 5 분 동안 지속된 보안 사건으로 인해 공공 유동성 금고에 손실이 발생했다고 밝혔습니다. 보안 회사들은 취약점 규모가 최대 2,400 만 달러에 달할 것으로 추정했습니다.

공동 설립자 Kaledora Kiernan-Linn 은 문제가 7 월 15 일 UTC 시간 14:18 부터 14:23 사이에 발생하여 공공 Ostium 유동성 공급자 (OLP) 금고에 영향을 미쳤다고 확인했습니다. 그녀는 팀이 몇 분 이내에 문제를 발견하고 한 시간 이내에 거래 중단을 조정했다고 밝혔습니다. 성명서는 정확한 손실 총액, 근본 원인 또는 최종 사후 보고서를 제공하지 않았습니다.

보안 회사들은 사건의 핵심은 서명 누락이 아니라 승인된 데이터라고 밝혔습니다. Blockaid 와 Cyvers 는 등록된 PriceUpKeep 포워더가 미래 날짜가 포함된 승인된 오라클 보고서를 제출하여 허위 거래 이익을 창출했다고 설명했습니다.

SlowMist 는 승인된 서명자가 반복적인 수익 거래에 사용된 유효한 서명이 포함된 조작된 데이터를 제공했다고 밝혔습니다. 이러한 설명은 여전히 제 3 자 발견 사항이며 Ostium 의 사후 보고서 확인을 기다리고 있습니다.

암호학적 인증은 보고서가 허용된 키로 서명되었음을 확인할 수 있습니다. 하지만 가격 타당성, 타임스탬프 신선도 및 결제 안전성은 별도의 통제 조치가 필요합니다.

Ostium 보안 문서에서 링크된 OstiumVerifier 코드는 ECDSA 서명자를 복원하고 서명자가 승인되었는지 확인하지만, 이 검증 함수는 가격 타당성 테스트나 타임스탬프 경계를 강제하지 않습니다.

코드는 사건 기간 동안 어떤 구현 버전이 활성화되었는지, 또는 이러한 검사를 적용하는 별도의 계약이 있는지 명시하지 않은 것으로 보입니다. 모든 타임스탬프, 재생, 가격 편차 또는 다중 소스 보호 조치는 실행 경로의 다른 위치에서 실행되어야 합니다.

주가가 움직이지 않아도 토큰화된 주식은 담보로서 기능을 상실할 수 있습니다

Ostium 의 프로토콜 문서에 따르면, OLP 금고는 거래자 담보를 보유하며 온체인에서 승리한 거래를 즉시 지급합니다. 허위 이익이 결제로 승인되면, 금고 유동성이 이러한 지급 비용을 부담하게 됩니다.

공개 추정치는 추적이 계속됨에 따라 상승했습니다. Blockaid 는 지급액이 1,800 만 달러에 가까웠다고 보았으며, Cyvers 는 2,370 만 달러로 추정했고, PeckShield 는 나중에 약 2,400 만 달러가 인출되었다고 설명했습니다.

SlowMist 의 낮은 1,186 만 달러 숫자는 인용된 거래에서 확인 가능한 11,862, 444.782 USDC 금고 유출액을 추적한 것으로 보입니다.

SummerFi DeFi 새 취약점은 AI 자동화가 이제 스마트 계약 위험보다 더 큰 위험이 되었음을 보여줍니다

PeckShield 는 인출된 USDC 가 12,080 ETH 로 교환되었으며, 업데이트 시점까지 10,540 ETH 가 Tornado Cash 로 들어갔다고 밝혔습니다. Kiernan-Linn 은 Ostium 이 법 집행 기관, SEAL 911 및 제 3 자 보안 전문가들과 협력하고 있다고 말했습니다.

이 메커니즘은 Ostium 을 4 일 전 Hedera 대출 프로토콜 Bonzo Lend 의 유사한 문제와 구분합니다. Bonzo 의 사건 보고서는 검증기가 유효한 서명이 없는 증명을 수용했다고 밝혔습니다. 반면 Ostium 사례에서 보안 회사들은 보고서가 승인된 서명자 경로를 통과했다고 주장했습니다. 인증은 성공했지만 데이터는 안전하지 않았다고 합니다.