Хакеры вывели почти $24 млн из DeFi-протокола Ostium, обманув его собственный оракул

DeFi-протокол Ostium, работающий в сети Arbitrum, потерял почти $24 млн в результате атаки на собственную систему оракулов — злоумышленник заставил протокол принять ценовые данные с метками времени из будущего.

Как прошла атака

По данным расследования, атакующий использовал зарегистрированный форвардер PriceUpKeep — доверенный компонент, через который в протокол поступают отчёты оракула о ценах, — чтобы отправить Ostium корректно подписанные, но манипулированные данные с временными метками из будущего. Поскольку отчёты были технически валидны и поступали через доверенный канал, смарт-контракты Ostium приняли их как подлинные и позволили открыть позиции по заведомо выгодной для атакующего цене.

По словам основателя Ostium, известного под псевдонимом Kaledora, сама атака уложилась всего в пять минут — с 14:18 до 14:23 UTC 15 июля. Команда заметила необычную активность практически сразу и приостановила работу всех торговых контрактов протокола в течение часа после начала эксплойта.

Сколько украли и куда ушли средства

Первые оценки ущерба составляли около $18 млн, но более детальный анализ ончейн-аналитической компании PeckShield, проследившей всю цепочку транзакций, показал, что фактически из протокола было выведено почти $24 млн. По данным PeckShield, похищенные USDC были конвертированы в 12 080 ETH, значительная часть которых впоследствии прошла через миксер Tornado Cash.

Что это значит на практике

Атака на Ostium продолжает серию эксплойтов оракулов, участившихся в DeFi в последнее время: проблема не в компрометации закрытых ключей или коде смарт-контрактов напрямую, а в самой архитектуре доверия к данным, поступающим из внешних источников. Даже технически валидный, корректно подписанный отчёт оракула может быть использован для атаки, если протокол не проверяет правдоподобность временных меток и логическую согласованность поступающих данных. Для DeFi-протоколов это ещё один аргумент в пользу более строгой валидации входных данных оракулов, а не только доверия к подписи источника.

Материал носит информационный характер и не является инвестиционной рекомендацией.