Анализ атаки на Ostium: украдены права доступа к внецепочечному оракулу, подделка цены BTC для арбитража 23,75 млн USDC
TechFlow: 30 июля, согласно официальному отчету Ostium, суть данной атаки заключается во взломе прав доступа к системе отчетности о ценах вне цепочки и не связана с уязвимостями смарт-контрактов.
Получив офчейн-разрешение, злоумышленник использовал зарегистрированный в протоколе легитимный маршрут для подачи искаженных цен на рынок BTC-USD (5 000 и 60 000 долларов США), атомарно выполнив цикл арбитража открытия и закрытия позиций в рамках одной транзакции. Начав с объема в 100 USDC, он последовательно наращивал позицию, совершив 8 транзакций. За 5 минут ему удалось вывести из хранилища OLP 23,75 млн USDC до срабатывания защитного механизма circuit breaker.
Корневой причиной послужило отсутствие в офчейн-инфраструктуре механизма многостороннего согласования, соответствующего уровню безопасности мультиподписи в блокчейне, что привело к возникновению уязвимости единой точки контроля. Похищенные средства были конвертированы в ETH и смешаны через Tornado Cash, работа по их отслеживанию продолжается.
