Ostiums Post-Mortem zum Exploit am 15. Juli bestätigt, dass Angreifer 23.752.746 USDC, etwa 23,75 Millionen Dollar, aus dem öffentlichen OLP-Liquiditätstresor abgezogen haben. Die Sicherheitslücke nutzte keinen Fehler in den geprüften Smart Contracts aus. Stattdessen wurde das Off-Chain-System kompromittiert, das die Preisfeeds des Protokolls signiert, wodurch Angreifer illegitime Preisberichte in einem Zeitraum von etwa fünf Minuten (14:18 bis 14:24 UTC) einreichen konnten. Die Sicherheiten der Trader blieben unberührt. Die Börse stoppte den Handel innerhalb einer Stunde nach der ersten bösartigen Transaktion und nahm den Betrieb am 23. Juli nach der Migration in eine neue Produktionsumgebung mit Mehrparteiengenehmigungen und zusätzlichen Sicherheitskontrollen wieder auf. Der Vorfall erinnert daran, dass die Sicherheitsoberfläche eines DeFi-Protokolls mehr umfasst als nur den On-Chain-Code: Off-Chain-Komponenten wie Preissigner und Orakelberechtigungen können die Garantien eines geprüften Vertrags umgehen, wenn deren Zugriffskontrollen versagen.
The Crypto Times