Bursa de perpetue on-chain Ostium a declarat că exploatarea sa din 15 iulie, care a drenat 23,75 milioane USDC din seiful său OLP, a provenit dintr-o compromitere a infrastructurii sale off-chain, mai degrabă decât dintr-o vulnerabilitate în contractele sale inteligente sau multisig-urile protocolului.

Într-o analiză post-incident publicată miercuri, Ostium a scris că atacatorul a profitat de accesul neautorizat la infrastructura off-chain a protocolului pentru a trimite rapoarte frauduloase de preț BTC-USD. Acest lucru a permis atacatorului să genereze profituri artificiale din tranzacționare din seiful public OLP.

Ostium a precizat că acest acces inițial neautorizat a avut loc off-chain.

"Pe baza investigației noastre, nu avem nicio dovadă că acest incident a fost rezultatul unei vulnerabilități în logica codului contractelor inteligente ale Ostium sau al unei compromiteri a multisig-urilor care guvernează protocolul", a declarat echipa.

Mai exact, atacatorul a folosit căi de redirecționare care erau deja recunoscute de protocol. Ei au testat inițial cu o poziție de 100 USDC pentru a genera aproximativ 897,8 USDC profit artificial.

Atacatorul a executat apoi lotul principal, ducând la transferul a 11,9 milioane USDC către portofelul beneficiarului, și ulterior a executat încă șase cicluri autonome. În total, atacul a drenat 23,75 milioane USDC din seiful OLP.

Echipa Ostium a menționat că monitorizarea sa automată a detectat activitatea și a prevenit în cele din urmă retragerile ulterioare. Protocolul a migrat de atunci la un nou mediu de producție cu controale de securitate actualizate, iar tranzacționarea a fost reluată pe 23 iulie.

Ostium a mai declarat că garanția traderilor nu a fost afectată, iar marja utilizatorilor a rămas în contractele de tranzacționare ale protocolului. 

"Un plan de recuperare separat pentru furnizorii de lichiditate este în curs de finalizare și va fi partajat într-o postare separată", a adăugat echipa.

Exploatarea a avut loc după ce Ostium a încheiat un parteneriat cu Nasdaq în luna mai pentru a susține produse perpetue de capitaluri proprii folosind datele de piață ale operatorului bursier. La momentul respectiv, protocolul a declarat că a procesat peste 50 de miliarde de dolari în volum cumulat de tranzacționare.