🚨 突发：在 Arbitrum 上的 RWA 永续合约交易所 Ostium 刚刚在遭到攻击者入侵后，损失了 $18M 至 2370 万美元之间的资金。

事情是这样的：Ostium 的预言机系统会检查价格报告是否来自授权签名者。它不会检查价格本身是否真实。攻击者同时持有授权预言机签名者密钥，以及一个名为 PriceUpKeep 的已注册看门人角色——负责实际执行交易的组件。上述两项都不应当能够被自行重新分配；它们本应都只能由 Ostium 自身的治理来控制。
在拿到这两样东西后，攻击者在单笔打包交易内部反复运行同一套循环：用伪造的低开仓价格开仓，用伪造的高平仓价格平仓，并将虚假的利润直接从金库中提走。仅一次批次就循环了 5 次，合计 1186 万美元。此后他们又多次这样做。
这不是闪电贷，也不是低流动性引发的价格操纵——这是 DeFi 多年来一直在努力加固防范的那类漏洞。这是被盗用或滥用的签名密钥问题，而无论多少链上流动性深度都无法对此提供保护。
金库在攻击前持有 3270 万美元。如今约为 900 万美元，下降了 72%。攻击者已经把大部分被盗的 $USDC 转换成 $ETH ，并开始通过 Tornado Cash 对其进行洗钱。Ostium 在一个小时内暂停了交易，并表示交易者资金和未平仓头寸仍保持被冻结且完整无损。
这是两周内 DeFi 发生的第二起预言机签名者密钥被攻破事件。Bonzo Finance 仅在 4 天前也因为几乎相同的机制损失了 900 万美元。审计人员仍在持续检查代码。几乎没有人会去审计谁掌握着这些密钥。