Неизвестные похитили примерно $18 млн в стейблкоинах USDC из хранилища ликвидности платформы Ostium на блокчейне Arbitrum. Атака стала возможна из-за манипуляции данными оракула, выяснили специалисты по безопасности из Blockaid.
Злоумышленники воспользовались зарегистрированным форвардером PriceUpKeep — элементом автоматизированной инфраструктуры Ostium. С его помощью они отправляли отчёты с ценами от оракула, указывая будущие даты. Система увидела прибыльные сделки и автоматически выплатила из хранилища миллионы стейблкоинов.
Ostium — это децентрализованная биржа бессрочных контрактов на базе Arbitrum. Платформа позволяет торговать реальными активами — сырьём, валютными парами и фондовыми индексами — с кредитным плечом до 200x, расчёты проводятся в USDC. За отправку ценовых данных отвечает сторонняя сеть автоматизации Gelato, а главную роль играет смарт-контракт PriceUpKeep.
Ostium привлёк $27,8 млн финансирования, включая инвестиции от General Catalyst и Jump Crypto. Совокупный объём торгов на платформе превышает $50 млрд.
Это не единичный случай. На прошлой неделе из протокола Summer.fi было выведено $6 млн, а протокол криптокредитования Bonzo Lend на Hedera потерял около $9,05 млн. Атаки объединяет поведение злоумышленников: они получают доступ к привилегированным ролям и манипулируют временем отправки или содержанием ценовых данных.
Будьте бдительны. Даже крупные платформы с многомиллионным финансированием не застрахованы от уязвимостей оракулов.