Ostium Kehilangan Hingga US$24 Juta dalam 5 Menit, Oracle Diduga Dimanipulasi dengan Data Harga "dari Masa Depan"

Platform perdagangan perpetual onchain Ostium melaporkan insiden keamanan berdurasi sekitar lima menit yang menyebabkan kerugian pada public liquidity vault miliknya. Sejumlah firma keamanan memperkirakan skala dampak kerentanan tersebut dapat mencapai US$24 juta. Co-founder Kaledora Kiernan-Linn menyatakan insiden terjadi pada 15 Juli pukul 14:18–14:23 UTC dan memengaruhi kas Ostium Liquidity Provider (OLP) yang bersifat publik. Tim mengidentifikasi masalah dalam hitungan menit dan mengoordinasikan penghentian perdagangan dalam waktu satu jam. Ostium belum merilis angka kerugian final, akar penyebab, maupun laporan pascainsiden. Temuan awal dari pihak ketiga menekankan bahwa masalah utamanya bukan "tanda tangan hilang", melainkan data yang sah tetapi berbahaya. Blockaid dan Cyvers menyebut relayer PriceUpKeep yang terdaftar mengirimkan laporan oracle yang terotorisasi dengan tanggal dari masa depan, sehingga menciptakan profit transaksi yang tidak semestinya. SlowMist menambahkan bahwa penandatangan terotorisasi memberikan data yang dimanipulasi dengan tanda tangan valid, memungkinkan transaksi berulang yang menguntungkan. Kesimpulan ini masih menunggu konfirmasi melalui laporan resmi Ostium. Secara kriptografi, autentikasi menunjukkan laporan ditandatangani oleh kunci yang diizinkan. Meski begitu, kewajaran harga, kesegaran timestamp, dan keamanan penyelesaian (settlement) memerlukan kontrol terpisah. Analisis terhadap kode OstiumVerifier dari tautan dokumen keamanan Ostium menunjukkan kontrak memulihkan penandatangan ECDSA dan memeriksa apakah penandatangan berwenang, tetapi fungsi tersebut tidak memaksakan pemeriksaan kewajaran harga maupun batas timestamp. Tidak terlihat jelas versi implementasi mana yang aktif saat kejadian atau apakah kontrak lain menjalankan kontrol ini. Perlindungan terhadap timestamp, replay, deviasi harga, atau validasi multisumber harus terjadi di bagian jalur eksekusi lain. Menurut dokumentasi protokol, vault OLP menampung kolateral trader dan melakukan pembayaran onchain secara instan untuk transaksi yang menang. Jika profit palsu diterima dalam proses settlement, likuiditas vault digunakan untuk menutup pembayaran tersebut. Perkiraan kerugian yang dipublikasikan meningkat seiring pelacakan: Blockaid menilai pembayaran mendekati US$18 juta, Cyvers memperkirakan US$23,7 juta, dan PeckShield kemudian menyebut sekitar US$24 juta tersedot. Angka lebih rendah dari SlowMist, US$11,86 juta, mengacu pada arus keluar treasury sebesar 11.862.444,782 USDC yang terlihat pada transaksi yang mereka rujuk. PeckShield juga menyatakan USDC yang ditarik ditukar menjadi 12.080 ETH, dan pada pembaruan terakhirnya 10.540 ETH telah dikirim ke Tornado Cash. Kiernan-Linn mengatakan Ostium bekerja sama dengan penegak hukum, SEAL 911, serta pakar keamanan pihak ketiga. Insiden ini dibedakan dari kasus Bonzo Lend di jaringan Hedera empat hari sebelumnya. Laporan Bonzo menyebut validator menerima bukti tanpa tanda tangan valid. Pada kasus Ostium, firma keamanan menilai laporan justru lolos melalui jalur penandatangan terotorisasi: autentikasi berhasil, tetapi data yang masuk diduga tidak aman. Ostium masih perlu mengonfirmasi apakah kunci penandatangan telah dikompromikan, apakah operator berwenang bertindak jahat, atau apakah jalur berprivilegi lain disalahgunakan. Langkah perbaikan seperti isolasi signer, batas timestamp yang ketat, pemeriksaan harga independen, pembatasan laju, dan circuit breaker akan menjadi penentu apakah jalur tepercaya dapat dicegah berubah menjadi pembayaran vault akibat "data buruk" hanya dalam hitungan menit.