Στις 15 Ιουλίου στις 14:18 UTC, ένας επιτιθέμενος εκμεταλλεύτηκε τα συμβόλαια συναλλαγών του Ostium στο Arbitrum, αποσπώντας περίπου 11,86 εκατομμύρια δολάρια σε USDC, τροφοδοτώντας μια ψευδή τιμή Bitcoin ύψους $5.000, ενώ η πραγματική τιμή ήταν περίπου $60.000. Η επίθεση στόχευσε το σύστημα oracle pull-based της πλατφόρμας, εγείροντας νέα ερωτήματα σχετικά με την ασφάλεια των αποκεντρωμένων τροφοδοσιών τιμών.
Πώς λειτούργησε η επίθεση
Ο επιτιθέμενος άνοιξε μια θέση με μια μικρή κατάθεση λίγα λεπτά πριν από την επίθεση και στη συνέχεια εκτέλεσε μια δέσμη 20 κλήσεων, εναλλάσσοντας μεταξύ του συμβολαίου Trading και ενός συμβολαίου συντήρησης τιμών με την ονομασία OstiumPrivatePriceUpKeep. Αυτό το συμβόλαιο παραδίδει υπογεγραμμένες τιμές από το σύστημα oracle του Ostium, το οποίο χρησιμοποιεί το Stork Network για περιουσιακά στοιχεία του πραγματικού κόσμου και το Chainlink Data Streams για κρυπτονομίσματα. Υποβάλλοντας μια ψευδή τιμή Bitcoin, ο επιτιθέμενος δημιούργησε μια απόκλιση που του επέτρεψε να κερδίσει από τη διαφορά.
Υποστήριξη και κλίμακα του Ostium
Το Ostium είναι ένα αποκεντρωμένο ανταλλακτήριο perpetuals στο Arbitrum που επικεντρώνεται σε περιουσιακά στοιχεία του πραγματικού κόσμου — μετοχές, εμπορεύματα, δείκτες, νομίσματα — καθώς και σε ζεύγη κρυπτονομισμάτων. Υποστηρίζεται από την General Catalyst και την Jump Crypto. Το έργο συγκέντρωσε 3,5 εκατομμύρια δολάρια σε έναν seed γύρο το 2023 και 20 εκατομμύρια δολάρια σε Series A τον Δεκέμβριο του 2025, συνολικά περίπου 27,8 εκατομμύρια δολάρια. Στις 15 Ιουλίου, η συνολική κλειδωμένη αξία του ανερχόταν σε περίπου 63 εκατομμύρια δολάρια και είχε διαφημίσει πάνω από 25 δισεκατομμύρια δολάρια σε συνολικό όγκο συναλλαγών.
Ομοιότητες με το hack του Resolv
Η επίθεση παρουσιάζει ομοιότητες με το hack του stablecoin Resolv USR τον Μάρτιο του 2026, όπου ένας μοναδικός προνομιακός ρόλος μπορούσε να δημιουργήσει χωρίς on-chain όρια. Στην περίπτωση του Ostium, η ακριβής αποτυχία εξουσιοδότησης που επέτρεψε την αποδοχή της ψευδούς τιμής δεν έχει ακόμη προσδιοριστεί. Η συμφωνημένη συνολική απώλεια είναι επίσης προσωρινή — οι on-chain συναλλαγές έχουν επιβεβαιωθεί, αλλά το τελικό ποσό μπορεί να αλλάξει καθώς οι ερευνητές εμβαθύνουν.
Τι ακολουθεί
Το Ostium δεν έχει δημοσιεύσει μια μεταθανάτια ανάλυση ούτε έχει επιβεβαιώσει εάν μπορούν να ανακτηθούν κεφάλαια. Η ομάδα πιθανότατα συνεργάζεται με εταιρείες ασφαλείας και τις αρχές επιβολής του νόμου, αλλά δεν έχει γίνει καμία δημόσια δήλωση μέχρι τη στιγμή της δημοσίευσης. Το αναπάντητο ερώτημα: πώς πέρασε μια ενιαία τροφοδοσία τιμής χωρίς σωστή επικύρωση;
