Ostium suspende negociações após ataque a oráculo drenar até US$ 18 milhões

A Ostium, corretora de perpétuos na Arbitrum voltada a ativos do mundo real e que levantou cerca de US$ 27,8 milhões com investidores como General Catalyst e Jump Crypto, interrompeu todas as negociações na quarta-feira após um atacante explorar seu sistema de oráculos e retirar até US$ 18 milhões em USDC do cofre de liquidez. A Blockaid, empresa de segurança on-chain, afirmou que o invasor "usou um forwarder PriceUpKeep registrado e relatórios de oráculo autorizados com data futura para criar lucro artificial em operações, acionando um pagamento de ~US$ 18 milhões em USDC a partir do cofre". A companhia divulgou, na Arbitrum, tanto a transação do exploit quanto o endereço do atacante. A transação citada (0x359f8c05...d4870e0) está confirmada on-chain. Números divergentes A Blockaid estima a retirada em aproximadamente US$ 18 milhões. Observadores independentes on-chain apontam um valor menor, com algumas estimativas em torno de US$ 11,86 milhões. A Ostium ainda não publicou sua própria contabilidade das perdas. Pouco antes do ataque, o protocolo registrava cerca de US$ 63,3 milhões em valor total bloqueado (TVL), segundo dados da DefiLlama, o que torna mesmo a estimativa mais baixa uma fatia relevante do saldo do cofre. O caso se soma a uma série de ataques que exploram sistemas automatizados de "keepers" e oráculos usados por protocolos DeFi para levar preços do mundo real à blockchain. A Summer.fi perdeu cerca de US$ 6,04 milhões em uma manipulação do preço de cotas em 6 de julho, de acordo com seu post-mortem. Em abril de 2025, um atacante drenou aproximadamente US$ 7,5 milhões da KiloEx em três redes ao se passar por um keeper confiável e alimentar preços falsos ao protocolo, em uma estrutura semelhante à descrita pela Blockaid no caso da Ostium. A recorrência indica um ponto fraco em protocolos que liquidam operações com base em dados off-chain: a infraestrutura que entrega os preços costuma ser tratada como confiável por padrão e, quando passa ao controle de um atacante, o protocolo acaba pagando por operações que, na prática, nunca geraram lucro. Mercado pausado A Ostium confirmou o incidente e pausou o mercado. "Estamos cientes do problema com o cofre OLP. Pausamos todas as negociações. A equipe está investigando", publicou o protocolo no X. A Ostium permite negociar contratos perpétuos de ativos como ouro, petróleo, índices de ações e câmbio diretamente de uma carteira cripto, com liquidação em USDC na Arbitrum, uma rede de segunda camada. Segundo o próprio projeto, o cofre OLP já sustentou mais de US$ 33 bilhões em volume acumulado em mais de 50 mercados. De acordo com a Blockaid, o componente explorado estava dentro do perímetro que a Ostium orientava pesquisadores de segurança a considerar como confiável. O escopo do programa de bug bounty do protocolo afirma que todos os keepers registrados, incluindo o PriceUpKeep, "e seus forwarders são presumidos confiáveis e operando corretamente", e que achados que dependam de um keeper comprometido ou malicioso ficam fora do programa. O mecanismo do ataque e a estimativa mais alta de perdas refletem as conclusões da Blockaid e não foram reconciliados de forma independente. A análise menciona um "forwarder registrado" e "relatórios de oráculo autorizados com data futura"; não há indicação de que uma chave privada tenha sido comprometida, embora alguns relatos tenham descrito o episódio dessa forma. A Ostium não explicou como o atacante obteve a capacidade de submeter os relatórios nem divulgou um balanço oficial do prejuízo.