🚨 URGENTE: Ostium, un exchange de RWA perpetuos en Arbitrum, acaba de perder entre $18M y 23,7M USD después de que un atacante comprometiera el sistema.

Esto es lo que pasó: el sistema de oráculos de Ostium comprueba si un informe de precio proviene de un firmante autorizado. No verifica si el propio precio es real. El atacante tenía tanto una clave de firmante de oráculo autorizada como un rol de keeper registrado llamado PriceUpKeep, el componente responsable de ejecutar las operaciones. Ninguno de los dos debería poder asignarse a sí mismo; ambos están pensados para estar controlados solo por la gobernanza de Ostium.
Con ambas piezas en mano, el atacante ejecutó el mismo bucle repetidamente dentro de transacciones empaquetadas individuales: abrir una posición usando un precio de apertura bajo fabricado, cerrarla usando un precio de cierre alto fabricado, y cobrar la ganancia falsa directamente desde la bóveda. Un solo lote hizo este ciclo cinco veces, por un total de 11,86 millones USD. Después de eso lo repitieron múltiples veces más.
Esto no fue un flash loan ni una manipulación del precio por liquidez escasa, el tipo de explotación que DeFi ha pasado años reforzando para resistir. Esto fue una clave de firmado robada o usada indebidamente, un problema que ninguna profundidad de liquidez on-chain puede mitigar.
La bóveda tenía 32,7 millones USD antes del ataque. Ahora tiene alrededor de 9 millones USD, una caída del 72%. El atacante ya convirtió la mayor parte de las $USDC robadas en $ETH y comenzó a blanquearlo a través de Tornado Cash. Ostium pausó el trading dentro de la hora y dice que los fondos de los traders y las posiciones abiertas permanecen congelados e intactos.
Este es el segundo compromiso de firmante de oráculos en DeFi en dos semanas. Bonzo Finance perdió 9 millones USD con casi el mismo mecanismo solo cuatro días antes. Los auditores siguen revisando el código. Casi nadie está auditando quién tiene las claves.