Из DeFi-площадки Ostium вывели около $18 млн: хакер подменил данные ценового оракула

Что произошло

Из Ostium, платформы для торговли бессрочными контрактами на реальные активы вроде золота, нефти и S&P 500, вывели около $18 млн.

По данным Blockaid, злоумышленнику не понадобилось получать приватные ключи пользователей. Он получил контроль над registered PriceUpKeep forwarder — авторизованным механизмом доставки ценовых данных, которому смарт-контракт Ostium доверял без дополнительной проверки.

Атакующий воспользовался логикой обновления цен для традиционных рынков и передал системе авторизованные отчёты с временными метками из будущего. Контракт принял их как корректные и пересчитал стоимость открытой позиции хакера в его пользу.

Какие последствия

После подмены ценовых данных система зафиксировала фиктивную прибыль и выплатила злоумышленнику около $18 млн настоящих USDC.

Средства были взяты из OLP — пула ликвидности, в который пользователи вносили USDC для обеспечения торговли.

При этом приватные ключи обычных пользователей, по имеющимся данным, скомпрометированы не были.

Почему это важно

Атака показывает, что в DeFi недостаточно защитить только кошельки и приватные ключи. Огромные суммы могут оказаться под угрозой из-за ошибки в одном из доверенных компонентов инфраструктуры — например, механизма, который передаёт протоколу данные о ценах.

Особенно опасны системы, работающие с традиционными рынками: их расписание, закрытия, гэпы и задержки создают сложную временную логику. Если протокол неправильно проверяет такие данные, атакующий может превратить ошибку в реальную выплату из пула ликвидности.

В итоге пользователи, рассчитывавшие на доходность пула, фактически приняли на себя риск инфраструктуры, которой доверял протокол.