Ostium sofreu uma perda de US$ 237 mil devido a uma falha no oráculo de preços off-chain, e as transações voltaram ao normal após a migração.

Ostium, uma plataforma de negociação de RWA baseada em Arbitrum, sofreu uma falha de segurança grave em 15 de julho, resultando na retirada de cerca de 237.500 USDC do cofre de provedores públicos de liquidez. 

Esse ataque comprometeu a infraestrutura de preços fora da blockchain do protocolo, e não o contrato inteligente on-chain ou o sistema de governança, destacando que plataformas de finanças descentralizadas continuam vulneráveis a falhas em infraestruturas tradicionais de TI.

De acordo com o relatório do incidente publicado pela empresa na rede social X, o atacante explorou o sistema de liquidação de preços baseado em pull da Ostium, o qual depende de fontes de dados off-chain para gerar relatórios de preços assinados para mercados como BTC-USD. 

Após invadir ilegalmente essa infraestrutura, o invasor enviou relatórios falsos mostrando o preço do Bitcoin em 5.000 USD e 60.000 USD, valores muito distantes dos preços reais de mercado. Entre 14:18 e 14:23 UTC, ele executou rapidamente oito operações de abertura e fechamento de posição através do caminho de encaminhamento legalmente reconhecido pelo protocolo. 

O atacante abriu posições a um preço manipulado e as fechou a outro valor igualmente manipulado, gerando lucro e perda artificiais em transações atômicas, forçando o cofre do OLP a pagar quase 240.000 USDC em lucros ilícitos.

Ostium enfatizou que o incidente não foi causado por falhas lógicas no contrato inteligente nem por prejuízos ao mecanismo multi-sig de governança. Durante todo o evento, os colaterais dos traders permaneceram seguros no contrato de negociação, e os demais usuários não foram afetados pela manipulação de preços.

Isolamento on-chain rápido e migração para uma infraestrutura reforçada

O sistema de monitoramento automático detectou a atividade anormal em poucos minutos, acionando o mecanismo de interrupção do cofre e impedindo novas retiradas. Às 14:55 UTC, a equipe executou a primeira transação de isolamento on-chain e, vinte minutos após a transação inicial de teste, todos os contratos de negociação foram congelados.

Após o incidente, Ostium migrou para um novo ambiente de produção com controle multi-aprovação aprimorado e retomou as negociações em 23 de julho. Os USDC roubados foram convertidos em ETH e distribuídos por uma rede de carteiras controladas pelos atacantes, sendo que uma parte significativa foi encaminhada pelo Tornado Cash, dificultando a recuperação dos fundos. 

A Ostium contratou as empresas de cibersegurança Mandiant e SEAL 911, além dos especialistas em inteligência blockchain zeroShadow e Collisionless, para realizar investigações forenses e rastrear o fluxo dos fundos. 

A empresa está a atuar em cooperação com as autoridades, exchanges e pontes no sentido de congelar os ativos sempre que possível, e prevê divulgar nos próximos dias um plano de ressarcimento para os provedores de liquidez afetados.