Il post-mortem di Ostium sull’exploit del 15 luglio conferma che gli attaccanti hanno drenato 23.752.746 USDC, circa 23,75 milioni di dollari, dal suo vault pubblico di liquidità OLP. La violazione non ha sfruttato una falla nei contratti intelligenti revisionati. Invece, il compromesso ha colpito il sistema off-chain che firma i feed di prezzo del protocollo, permettendo agli attaccanti di inviare report di prezzo illegittimi durante una finestra di circa cinque minuti (14:18-14:24 UTC). Il collaterale dei trader non è stato toccato. Lo exchange ha sospeso il trading entro un’ora dalla prima transazione malevola e ha riaperto il 23 luglio dopo la migrazione a un nuovo ambiente di produzione con approvazioni multipartite e controlli di sicurezza aggiuntivi. L’episodio ricorda che la superficie di sicurezza di un protocollo DeFi include più del solo codice on-chain: componenti off-chain come i firmatari di prezzo e i permessi degli oracoli possono bypassare le garanzie di un contratto revisionato se i loro controlli di accesso falliscono.
The Crypto Times