🚨 URGENTE: Ostium, uma bolsa de RWA perpétuos na Arbitrum, acabou de perder entre $18M e US$ 23,7 milhões depois que um invasor comprometeu o sistema.

Veja o que aconteceu: O sistema de oráculos da Ostium verifica se um relatório de preço veio de um signatário autorizado. Ele não checa se o próprio preço é real. O invasor tinha em mãos tanto uma chave de signatário de oráculo autorizada quanto uma função registrada chamada PriceUpKeep, o componente responsável por de fato executar as negociações. Nenhum dos dois deveria ser autoatribuível; ambos devem ser controlados apenas pela governança da Ostium.
Com as duas peças em mãos, o invasor executou o mesmo loop repetidamente dentro de transações em lote únicas: abrir uma posição usando um preço de abertura fabricado e baixo, fechá-la usando um preço de fechamento fabricado e alto, e coletar o lucro falso diretamente do cofre. Um único lote fez esse ciclo cinco vezes, somando US$ 11,86 milhões. Depois disso, eles fizeram múltiplas outras vezes.
Isso não foi um flash loan nem uma manipulação de preço com baixa liquidez, o tipo de exploração que o DeFi vem endurecendo há anos. Foi uma chave de assinatura roubada ou usada indevidamente, um problema contra o qual nenhuma profundidade de liquidez on-chain consegue proteger.
O cofre tinha US$ 32,7 milhões antes do ataque. Agora ele mantém cerca de US$ 9 milhões, uma queda de 72%. O invasor já converteu a maior parte do $USDC roubado em $ETH e começou a lavá-lo via Tornado Cash. A Ostium pausou as negociações dentro da hora e diz que os fundos dos traders e as posições em aberto permanecem congelados e intactos.
Este é o segundo comprometimento de signatário de oráculo no DeFi em duas semanas. A Bonzo Finance perdeu US$ 9 milhões para quase o mesmo mecanismo apenas quatro dias antes. Os auditores continuam checando o código. Quase ninguém está auditando quem detém as chaves.