Ostium suspend les échanges après une exploitation de l'oracle pouvant atteindre 18 M$

Ostium, une plateforme de contrats perpétuels sur Arbitrum spécialisée dans le trading d'actifs du monde réel, a suspendu l'ensemble des transactions mercredi après une attaque ayant visé son système d'oracles. Selon Blockaid, société de sécurité on-chain, l'assaillant a manipulé les flux de prix afin de déclencher un versement pouvant aller jusqu'à 18 millions de dollars en USDC depuis le coffre de liquidité de la plateforme. Blockaid indique que l'attaquant « a utilisé un forwarder PriceUpKeep enregistré ainsi que des rapports d'oracle autorisés antidatés dans le futur pour créer des profits artificiels », ce qui aurait provoqué un paiement d'environ 18 M$ en USDC. La firme a publié la transaction d'exploitation et l'adresse de l'attaquant, toutes deux sur Arbitrum. La transaction référencée, 0x359f8c05...d4870e0, est confirmée on-chain. Montants discutés Blockaid évalue la sortie de fonds à environ 18 M$. Des observateurs indépendants on-chain avancent un chiffre plus faible, certains l'estimant proche de 11,86 M$. Ostium n'a pas publié son propre décompte des pertes. D'après DefiLlama, le protocole affichait près de 63,3 M$ de valeur totale verrouillée (TVL) juste avant l'attaque, ce qui ferait même de l'estimation basse une ponction significative du solde du coffre. Une faille récurrente liée aux "keepers" et aux oracles L'incident s'inscrit dans une série d'attaques exploitant les systèmes automatisés de "keeper" et d'oracles utilisés par les protocoles DeFi pour injecter des prix du monde réel on-chain. Summer.fi a indiqué avoir perdu environ 6,04 M$ lors d'une manipulation du prix d'une part le 6 juillet, selon son rapport post-mortem. En avril 2025, un attaquant a drainé environ 7,5 M$ sur KiloEx via trois blockchains en se faisant passer pour un keeper de confiance afin d'alimenter le protocole en faux prix, une configuration comparable à celle décrite par Blockaid chez Ostium. Ce schéma souligne un point de fragilité récurrent pour les protocoles qui règlent des positions à partir de données hors chaîne: la chaîne de transmission des prix est souvent présumée fiable, et lorsqu'un attaquant en prend le contrôle, le protocole peut payer des profits sur des transactions qui n'en généraient pas. Marché à l'arrêt, enquête en cours Ostium a confirmé l'incident et mis le marché en pause. « Nous sommes au courant d'un problème avec le coffre OLP. Nous avons suspendu tous les échanges. L'équipe enquête », a publié le protocole sur X. Ostium permet de trader, depuis un portefeuille crypto, des contrats perpétuels sur des actifs comme l'or, le pétrole, des indices actions et le forex, avec un règlement en USDC sur Arbitrum, un réseau Layer 2. Selon Ostium, le coffre OLP a dépassé 33 milliards de dollars de volume cumulé sur plus de 50 marchés. Blockaid affirme que le composant exploité se trouvait dans un périmètre qu'Ostium demandait aux chercheurs en sécurité de considérer comme sûr. Le périmètre du programme de bug bounty précise que tous les keepers enregistrés, y compris PriceUpKeep, « ainsi que leurs forwarders sont supposés être de confiance et fonctionner correctement », et que les rapports nécessitant un keeper compromis ou malveillant sont hors du programme. Le mode opératoire et l'estimation haute de la perte correspondent aux conclusions affichées par Blockaid et n'ont pas été rapprochés de manière indépendante. Le rapport de Blockaid mentionne un « forwarder enregistré » et des « rapports d'oracle autorisés datés dans le futur », sans indiquer qu'une clé privée aurait été compromise, même si certains récits de l'attaque l'ont présentée ainsi. Ostium n'a pas expliqué comment l'attaquant a obtenu la capacité de soumettre ces rapports et n'a pas publié de bilan chiffré des pertes.