Анализ атаки Ostium, кража прав на оффлайн-оракул, подделка арбитража цены BTC на 23,75 миллиона USDC

Сообщение ChainCatcher, согласно официальному отчету Ostium, основная проблема атаки заключается в том, что была нарушена система отчетности цен вне цепи, и это не связано с уязвимостями смарт-контрактов. После получения разрешения вне цепи, злоумышленники использовали легальные маршруты пересылки, зарегистрированные в протоколе, чтобы подать поддельные цены (5,000 долларов и 60,000 долларов) на рынок BTC-USD, завершив арбитражный цикл открытия и закрытия позиций в одной сделке, начиная с 100 USDC и увеличивая масштаб, пройдя через 8 сделок, за 5 минут из хранилища OLP было выведено 23,75 миллиона USDC, пока не сработал механизм отключения хранилища.

Основная причина заключается в том, что инфраструктура вне цепи не имеет многоуровневого механизма согласования, равного многостороннему одобрению на цепи, что создает уязвимость с единой точкой доступа. Украденные средства были конвертированы в ETH и смешаны через Tornado Cash, работа по отслеживанию все еще продолжается.