Ostium sospende le negoziazioni dopo un exploit sull'oracle: fino a 18 milioni di USDC sottratti

Ostium, exchange di perpetual su Arbitrum focalizzato su asset del mondo reale e finanziato con circa 27,8 milioni di dollari da investitori tra cui General Catalyst e Jump Crypto, ha sospeso tutte le negoziazioni mercoledì dopo che un attaccante avrebbe manipolato il sistema di oracle, sottraendo fino a 18 milioni di USDC dal suo liquidity vault. Blockaid, società di sicurezza on-chain, ha spiegato che l'attaccante ha "utilizzato un forwarder PriceUpKeep registrato e report dell'oracle autorizzati con data futura per creare profitti di trading artificiali, attivando un pagamento di circa 18 milioni di USDC dal vault". Blockaid ha anche diffuso la transazione dell'exploit e l'indirizzo dell'attaccante, entrambi su Arbitrum. La transazione citata, 0x359f8c05...d4870e0, risulta confermata on-chain. Stime divergenti Secondo Blockaid, il payout ammonterebbe a circa 18 milioni di dollari. Osservatori indipendenti on-chain indicano cifre inferiori, con alcune stime intorno a 11,86 milioni di dollari. Ostium non ha pubblicato un proprio conteggio delle perdite. Poco prima dell'attacco, il protocollo aveva circa 63,3 milioni di dollari di TVL (total value locked), in base ai dati di DefiLlama, una dimensione che renderebbe anche la stima più bassa una quota rilevante del saldo del vault. L'episodio si inserisce in una serie di exploit che prendono di mira i sistemi automatizzati di "keeper" e gli oracle usati dai protocolli DeFi per portare su blockchain i prezzi del mondo reale. Summer.fi ha dichiarato di aver perso circa 6,04 milioni di dollari in una manipolazione del prezzo delle quote il 6 luglio, secondo il proprio postmortem. Ad aprile 2025, un attaccante ha sottratto circa 7,5 milioni di dollari a KiloEx su tre chain, impersonando un keeper fidato per fornire prezzi falsi: una dinamica che Blockaid descrive come simile a quella osservata in Ostium. Il filo conduttore, secondo gli analisti, è una vulnerabilità ricorrente nei protocolli che regolano le operazioni su dati off-chain: l'infrastruttura che consegna i prezzi viene spesso considerata affidabile per impostazione predefinita e, quando viene controllata da un attaccante, il protocollo finisce per pagare profitti su trade che non hanno mai generato guadagni reali. Mercato in pausa Ostium ha confermato l'incidente e ha messo in pausa il mercato. "Siamo a conoscenza del problema con il vault OLP. Abbiamo sospeso tutte le negoziazioni. Il team sta indagando", ha scritto il protocollo su X. Ostium consente di negoziare contratti perpetual su asset come oro, petrolio, indici azionari e forex direttamente da un wallet crypto, con regolamento in USDC su Arbitrum, una rete Layer 2. Secondo Ostium, il vault OLP ha supportato oltre 33 miliardi di dollari di volume cumulato su più di 50 mercati. Il componente che, secondo Blockaid, sarebbe stato sfruttato dall'attaccante rientrava nel perimetro che Ostium aveva indicato ai ricercatori di sicurezza come "sicuro". Nel perimetro del bug bounty, infatti, Ostium afferma che tutti i keeper registrati, incluso PriceUpKeep, "e i relativi forwarder sono considerati affidabili e funzionanti correttamente", e che le segnalazioni che presuppongono un keeper compromesso o malevolo non rientrano nel programma. Sia il meccanismo dell'attacco sia la stima massima della perdita si basano sulle conclusioni dichiarate da Blockaid e non sono stati riconciliati in modo indipendente. Nel post, Blockaid cita un "forwarder registrato" e "report dell'oracle autorizzati con data futura", senza indicare che sia stata compromessa una chiave privata, anche se alcune ricostruzioni hanno descritto l'evento in questi termini. Ostium non ha confermato in che modo l'attaccante abbia ottenuto la capacità di inviare i report, né ha comunicato un bilancio ufficiale delle perdite.