Ringkasan Insiden Eksploitasi Ostium
Ostium telah menyimpulkan bahwa eksploitasi yang terjadi pada bulan Juli disebabkan oleh infrastruktur off-chain yang terkompromi, bukan oleh cacat dalam kontrak pintar mereka. Penyelidikan menunjukkan bahwa penyerang memanipulasi pelaporan harga untuk menguras 23,75 juta USDC dari brankas likuiditas protokol.
Detail Penyelidikan
Menurut laporan pasca-mortem Ostium yang diterbitkan pada hari Rabu, penyerang berhasil mendapatkan akses tidak sah ke infrastruktur off-chain protokol dan menggunakannya untuk mengirimkan laporan harga BTC-USD yang curang. Laporan yang dimanipulasi ini memungkinkan penyerang untuk menciptakan keuntungan perdagangan buatan dengan mengorbankan brankas OLP publik, sementara protokol tidak menemukan bukti bahwa kontrak pintar atau multisig pemerintahan mereka telah terkompromi.
Proses Eksploitasi
Selama penyelidikannya, Ostium menyatakan bahwa pelanggaran awal terjadi di luar infrastruktur on-chain protokol. Tim menyatakan bahwa temuan mereka tidak mengidentifikasi adanya kerentanan dalam logika kontrak pintar protokol atau adanya kompromi yang melibatkan multisig yang bertanggung jawab untuk mengatur protokol. Sebaliknya, penyerang menyalahgunakan jalur pengirim yang sudah diakui sebagai valid oleh protokol.
Ostium menjelaskan bahwa eksploitasi dimulai dengan transaksi uji kecil yang melibatkan posisi 100 USDC, menghasilkan sekitar 897,8 USDC dalam keuntungan buatan sebelum penyerang memperluas operasi.
Setelah uji coba yang berhasil, penyerang melaksanakan batch transaksi utama, mentransfer sekitar 11,9 juta USDC ke dompet penerima. Ostium melaporkan bahwa enam siklus eksploitasi mandiri tambahan mengikuti, sehingga total kerugian dari brankas OLP mencapai 23,75 juta USDC.
Analisis dan Tindakan Selanjutnya
Laporan sebelumnya dari perusahaan keamanan blockchain Blockaid mengaitkan insiden tersebut dengan kunci privat penandatangan oracle yang terkompromi, menyatakan bahwa penyerang melewati proses verifikasi harga protokol dengan mengirimkan laporan harga yang dimanipulasi melalui pengirim PriceUpKeep yang terdaftar. Pada saat itu, Blockaid memperkirakan bahwa antara $11,86 juta dan $18 juta USDC telah ditarik selama sekitar 20 siklus perdagangan, berdasarkan aktivitas eksploitasi yang terlihat di on-chain saat serangan masih berlangsung.
Meskipun eksploitasi berhasil menguras dana dari brankas likuiditas, Ostium menyatakan bahwa sistem pemantauan otomatis mereka mendeteksi aktivitas abnormal sebelum penarikan tambahan dapat dilakukan. Protokol kemudian menghentikan perdagangan sementara penyelidikan berlangsung dan sejak itu telah bermigrasi ke lingkungan produksi baru dengan kontrol keamanan yang diperbarui. Perdagangan dilanjutkan pada 23 Juli setelah migrasi selesai.
Keamanan dan Pemulihan
Ostium juga menegaskan bahwa jaminan trader tetap tidak terpengaruh sepanjang insiden karena margin pengguna tetap berada di dalam kontrak perdagangan protokol, bukan di kolam likuiditas yang terkompromi. Tim menambahkan bahwa mereka masih menyelesaikan rencana pemulihan terpisah untuk penyedia likuiditas yang dananya terpengaruh oleh eksploitasi. Menurut protokol, rincian lebih lanjut akan dirilis dalam pembaruan khusus.
Meskipun laporan terbaru Ostium mengaitkan insiden tersebut dengan akses tidak sah ke infrastruktur off-chain mereka, temuan mereka konsisten dengan jalur serangan yang sebelumnya diuraikan oleh Blockaid, yang menyimpulkan bahwa kredensial penandatangan yang terkompromi memungkinkan laporan harga curang lolos dari proses verifikasi protokol.
Kesimpulan
Insiden ini menarik perhatian pada keamanan infrastruktur pendukung yang diandalkan oleh protokol keuangan terdesentralisasi untuk data pasar eksternal. Dalam kasus Ostium, baik laporan pasca-mortem protokol maupun penyelidikan sebelumnya oleh Blockaid menyimpulkan bahwa eksploitasi tidak berasal dari cacat dalam kontrak pintar inti. Eksploitasi terjadi hanya beberapa minggu setelah Ostium memperluas kehadiran institusionalnya melalui kemitraan dengan Nasdaq yang diumumkan pada bulan Mei. Pada saat itu, protokol menyatakan bahwa data pasar Nasdaq akan mendukung produk perpetual ekuitas yang terdaftar di platform.
Ostium juga mengungkapkan selama pengumuman itu bahwa mereka telah memproses lebih dari $50 miliar dalam volume perdagangan kumulatif. Sebelum eksploitasi, protokol telah mengumpulkan sekitar $27,8 juta dari investor termasuk General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute, dan GSR, menurut pengungkapan perusahaan sebelumnya.
