Ostium a subi une perte de 237 000 dollars en raison d'une faille dans son oracle de prix off-chain, mais les transactions ont repris normalement après la migration.

Ostium, une plateforme de trading RWA basée sur Arbitrum, a subi une faille de sécurité majeure le 15 juillet, entraînant le retrait d'environ 237 500 USDC de son coffre de fournisseur de liquidité publique. 

Cette attaque a compromis l'infrastructure de tarification hors chaîne du protocole, et non ses contrats intelligents ou son système de gouvernance sur la blockchain, ce qui met en évidence que les plateformes DeFi restent vulnérables aux faiblesses de l'infrastructure informatique traditionnelle.

Selon le rapport d'incident publié par la société sur le réseau social X, l'attaquant a exploité le système de règlement des prix pull-based d’Ostium, qui s’appuie sur des sources de données hors chaîne pour générer des rapports de prix signés pour des marchés tels que BTC-USD. 

Après avoir illégalement compromis cette infrastructure, l'attaquant a soumis de faux rapports, indiquant un prix du Bitcoin à 5 000 USD et 60 000 USD — des valeurs très éloignées du prix réel du marché. Entre 14h18 et 14h23 UTC, il a exécuté rapidement huit opérations d'ouverture et de clôture de position via la voie de transmission légitime approuvée par le protocole. 

L’attaquant a ainsi ouvert une position à un prix manipulé et clôturé à un autre prix manipulé, générant artificiellement des profits et pertes lors d’une transaction atomique, obligeant le coffre OLP à verser près de 240 000 USDC de gains illégaux.

Ostium met en avant que cet incident ne provient ni d’un défaut dans la logique du contrat intelligent, ni d’une faille dans le mécanisme de gouvernance multi-signature. Pendant l’évènement, les collatéraux des traders sont restés en sécurité dans le contrat de trading, et les positions des autres utilisateurs n’ont pas été affectées par la manipulation des prix.

Isolation rapide sur la blockchain et migration vers une infrastructure renforcée

Le système de surveillance automatique a détecté l'activité anormale en quelques minutes, déclenchant un mécanisme de coupure pour le coffre, empêchant ainsi tout retrait supplémentaire. L’équipe a effectué la première transaction d’isolation sur la blockchain à 14h55 UTC, puis a gelé tous les contrats de trading dans les 20 minutes suivant la transaction test initiale.

Après l’incident, Ostium a migré vers un nouvel environnement de production doté de contrôles d’approbation multipartites renforcés, et a repris le trading le 23 juillet. Les USDC dérobés ont été convertis en ETH puis dispersés à travers un réseau de portefeuilles contrôlés par l’attaquant, une grande partie transitant par Tornado Cash, ce qui complique la récupération. 

Ostium a fait appel à la société de cybersécurité Mandiant et à SEAL 911, ainsi qu’aux experts en renseignement blockchain zeroShadow et Collisionless, pour mener des analyses forensiques et retracer les flux de fonds. 

L’entreprise collabore activement avec les forces de l’ordre, les exchanges et les opérateurs de ponts pour geler les actifs lorsque cela est possible, et s’attend à annoncer un plan de compensation pour les fournisseurs de liquidité affectés dans les prochains jours.