تستهدف شركة أوستيوم إعادة إطلاقها هذا الأسبوع بعد استغلال ثغرة أمنية بقيمة 23.7 مليون دولار

أعلنت منصة التداول "أوستيوم" التي تتخذ من "أربيتروم" مقراً لها، يوم الاثنين 20 يوليو، أنها تخطط لاستئناف التداول هذا الأسبوع، بعد حوالي خمسة أيام من تعرضها لهجوم إلكتروني أدى إلى استنزاف خزينة السيولة الخاصة بها. وكانت أموال المتداولين وموفري السيولة قد جُمدت منذ 15 يوليو، وستكون إعادة التشغيل هذه أول فرصة لهم للتصرف في مراكزهم منذ ما يقرب من أسبوع.

أعلنت الشركة أنها ستقدم إشعارًا قبل 24 ساعة على الأقل من إعادة فتح التداول، وأن المدققين وخبراء الأمن السيبراني الخارجيين ومهندسيها يقومون بإجراء الفحوصات النهائية أولاً.

عندما تعود المنصة للعمل، سيتم إعادة فتح المراكز الحالية بالسعر السائد عند إعادة التشغيل.

تدير شركة Ostium منصة تداول عقود دائمة لامركزية على منصة Arbitrum، تتيح للمستخدمين المراهنة برافعة مالية على العملات الأجنبية والسلع والمعادن والأسهم والعملات المشفرة من محفظة ذاتية الحفظ، ويتم تسوية الصفقات بعملة USDC. وقد أغلقت الشركة جولة تمويل من الفئة (أ) بقيمة 20 مليون دولار في ديسمبر 2025 بقيادة مشتركة من General Catalyst وJump، وفقًا لموقع DefiLlama.

ما الذي تم الاستيلاء عليه خلال عملية استغلال ثغرة أوستيوم وما الذي لم يتم الاستيلاء عليه

أعلنت شركة أوستيوم عن خسارة بلغت 23,752,746 دولار أمريكي (USDC) في منشور بتاريخ 19 يوليو على منصة X، وهو الرقم الأكثر دقة حتى الآن. وقد استهدفت عملية السرقة مجمع سيولة أوستيوم، وهو الخزينة التي يودع فيها مزودو السيولة عملة USDC لدعم مراكز المتداولين وتسوية الأرباح والخسائر.

وفي منشور لاحق تم نشره بعد تأكيد الثغرة الأمنية، ذكرت شركة Ostium أن "مراكز المستخدمين تظل مفتوحة وغير قابلة للتعديل، وهامش المتداول يظل دون تغيير في عقود التداول الذكية المجمدةtrac.

في البداية، لم يكن هناك إجماع عام حول التقارير المتعلقة بالخسارة المُقدّرة. فقد ذكرت شركة الأمن "بلوكايد" أن الخسارة تُقدّر بنحو 18 مليون دولار. بينما أشارت تقارير أخرى إلى أنها تبلغ 20 مليون دولار، في حين خلصت حسابات شركة "أوستيوم" ومراجعة أجرتها شركة "غالاكسي ريسيرش" إلى أن الخسارة تبلغ 23.75 مليون دولار.

مفتاح التوقيع، وليس خللًاtracالذكي

وفقًا لشركة Galaxy، كان المهاجم يمتلك بياناتdentشرعية من المفترض أن يتم منحها فقط من قبل إدارة Ostium: مفتاح توقيع أوراكل معتمد وموجه PriceUpKeep مسجل، وهو الدور الذي ينفذ الطلبات المعلقة. 

يتحقق نظام التحقق في أوستيوم من توقيع تقرير السعر من قِبل مُوقِّع مُعتمد، لكنه لا يتحقق من صحة السعر نفسه. وبامتلاكه بياناتdentهذه، أدخل المُهاجم إلى النظام سعرًا مُوقَّعًا بشكل صحيح ومؤرخًا بتاريخ لاحق، ثم تداول بناءً عليه.

شركة الأمن هالبورن الآلية بالتفصيل، مشيرة إلى أن المهاجم فتح Bitcoin بسعر مصطنع قدره 5000 دولار، ثم أغلقه بسعر السوق الحقيقي بالقرب من 60000 دولار، مستفيدًا من الفرق. 

قدّر هالبورن أن الخطة حققت ربحًا بنحو 900% لكل جولة على مدار عشر دورات. كما أشارت شركة الأمن إلى أن البنية التحتية المستهدفة لشركة PriceUpKeep لم تكن ضمن نطاق برنامج مكافآت اكتشاف الثغرات الأمنية لشركة Ostium، مما قلل من احتمالية أن يكون باحث قد أبلغ عنها أولًا.

بعد عملية السحب، لم تبقى عملة USDC المسروقة في مكانها. أفاد موقع PeckShieldAlert أن المخترق قام باستبدالها بـ 12,080 إيثيريوم وأرسل 10,540 إيثيريوم إلى منصة خلط العملات Tornado Cash.

أبلغت شركة أوستيوم مجتمعهاdent لأول مرة في 16 يوليو، واكتفت بالقول إن التداول قد توقف وتم إخطار السلطات. وقد وعدت الشركة بإجراء تحليل فني شامل للحادث في الأيام القادمة. 

لم توضح الشركة بعد كيفية تعويض مزودي السيولة، الذين تحملوا الخسارة كاملةً. وقالت إنها لا تزال تعمل على إيجاد حلٍّ مناسب لهم.