Ostium зупинила торги після експлойту оракула: з пулу ліквідності могли вивести до $18 млн

Ostium — біржа безстрокових контрактів на реальні активи в мережі Arbitrum, яка залучила близько $27,8 млн інвестицій від General Catalyst, Jump Crypto та інших — у середу повністю призупинила торгівлю після атаки на систему оракулів. За оцінкою Blockaid, з ліквіднісного сховища протоколу було виведено до $18 млн у USDC. У Blockaid повідомили, що зловмисник "використав зареєстрований форвардер PriceUpKeep та авторизовані звіти оракула з датою в майбутньому, щоб створити штучний торговий прибуток і ініціювати виплату з пулу приблизно на $18 млн USDC". Компанія оприлюднила транзакцію експлойту та адресу атакувальника в мережі Arbitrum. Йдеться про транзакцію 0x359f8c05...d4870e0, підтверджену ончейн. Оцінки збитків різняться. Blockaid називає суму близько $18 млн, тоді як незалежні ончейн-спостерігачі наводять нижчі оцінки — зокрема близько $11,86 млн. Сам Ostium власний розрахунок втрат не опублікував. За даними DefiLlama, незадовго до інциденту загальна заблокована вартість (TVL) протоколу становила приблизно $63,3 млн, тож навіть нижня оцінка означає відчутну частку балансу сховища. Інцидент вкладається у ширший тренд атак на автоматизовані "кіпери" та оракульну інфраструктуру, через яку DeFi-протоколи виводять ончейн котирування реальних ринків. Summer.fi, за власним постмортем, 6 липня втратила близько $6,04 млн через маніпуляцію ціною паю. У квітні 2025 року атакувальник вивів приблизно $7,5 млн з KiloEx на трьох мережах, імітуючи довіреного кіпера та підставляючи хибні ціни — схему, схожу на описану Blockaid у випадку Ostium. Типова вразливість таких систем у тому, що механізм доставки цін часто вважається довіреним за замовчуванням; коли контроль над ним перехоплюють, протокол здійснює виплати за "прибутковими" угодами, які насправді не приносили доходу. Ostium підтвердила інцидент і зупинила ринок. "Нам відомо про проблему зі сховищем OLP. Ми призупинили всю торгівлю. Команда розслідує", — йдеться у повідомленні протоколу в X. Платформа дозволяє торгувати безстроковими контрактами на золото, нафту, фондові індекси та валютні пари безпосередньо з криптогаманця, з розрахунками в USDC на Arbitrum (Layer 2). За даними Ostium, сховище OLP забезпечило понад $33 млрд сукупного торгового обсягу на більш ніж 50 ринках. Компонент, який, за твердженням Blockaid, використав атакувальник, перебував у межах периметра, який Ostium просила дослідників безпеки вважати безпечним. У правилах bug bounty протоколу зазначено, що всі зареєстровані кіпери, включно з PriceUpKeep, "та їхні форвардери вважаються довіреними і такими, що працюють коректно", а звіти, які вимагають компрометації або зловмисної поведінки кіпера, не підпадають під програму. Опис механізму та верхня межа втрат базуються на висновках Blockaid і наразі не були незалежно звірені. У публікації Blockaid згадуються "зареєстрований форвардер" і "авторизовані звіти оракула з датою в майбутньому"; там не стверджується про компрометацію приватного ключа, хоча в окремих описах інциденту це припускали. Ostium не підтвердила, як саме зловмисник отримав можливість подавати такі звіти, і не надала підсумкової оцінки збитків.