Ostium apunta a relanzarse esta semana tras una explotación de bóveda por 23,7 millones de dólares
- Ostium planea reanudar las operaciones aproximadamente una semana después de que un atacante drenara 23,75 millones de dólares de su pool de liquidez.
- El explotador lavó los fondos a través de Tornado Cash.
- Las posiciones existentes de los traders permanecen congeladas pero sin modificaciones, y Ostium aún no ha detallado cómo se compensará a los proveedores de liquidez por sus pérdidas.
Ostium planea reanudar el comercio esta semana, aproximadamente cinco días después de que un atacante drenara su bóveda de liquidez, dijo el exchange basado en Arbitrum el lunes 20 de julio. Los traders y proveedores de liquidez tienen fondos congelados desde el 15 de julio, y el reinicio será su primera oportunidad para actuar sobre sus posiciones en casi una semana.
El la empresa declaró que daría al menos 24 horas de aviso antes de que se reanude el comercio y que los auditores, expertos externos en ciberseguridad y sus propios ingenieros estaban realizando verificaciones finales primero.
Cuando la plataforma vuelva a estar en línea, las posiciones existentes se reabrirán al precio vigente en el momento del reinicio.
Ostium opera un mercado descentralizado de perpetuos en Arbitrum, permitiendo a los usuarios tomar apuestas apalancadas sobre divisas, materias primas, metales, acciones y criptomonedas desde una billetera de autogestión, con liquidaciones en USDC. Cerró una ronda Serie A de 20 millones de dólares en diciembre de 2025, copresidida por General Catalyst y Jump, según DefiLlama.
Qué se llevó durante la explotación de Ostium y qué no
Ostium cuantificó la pérdida en 23.752.746 USDC en una publicación del 19 de julio en X, su cifra más precisa hasta la fecha. El robo afectó al Pool de Liquidez de Ostium, la bóveda donde los proveedores de liquidez depositan USDC para respaldar las posiciones de los traders y liquidar ganancias y pérdidas.
En un post de seguimiento que se hizo después de confirmar la explotación, Ostium declaró que "las posiciones de los usuarios permanecen abiertas e inmodificables, y el margen de los traders permanece intacto en los contratos inteligentes de comercio congelados".
Inicialmente, no hubo un consenso general sobre los informes sobre la pérdida estimada. La firma de seguridad Blockaid reportó la pérdida en alrededor de 18 millones de dólares. Otro informe la situó en 20 millones de dólares, mientras que la contabilidad de Ostium y una revisión de Galaxy Research ambas arrojaron 23.75 millones de dólares.
Una clave firmante, no un error en el contrato inteligente
Según Galaxy, el atacante poseía dos credenciales legítimas que solo deberían ser emitidas por la gobernanza de Ostium: una clave de firmante de oráculo autorizada y un reenviador PriceUpKeep registrado, el rol que cumple con las órdenes pendientes.
El verificador de Ostium comprueba que un informe de precio esté firmado por un firmante aprobado, pero no si el precio es real. Con ambas credenciales en su poder, el atacante alimentó al sistema con un precio firmado correctamente y con fecha futura, y operó contra él.
La firma de seguridad Halborn describió la mecánica en detalle, afirmando que el atacante abrió una posición en Bitcoin a un precio fabricado de 5.000 dólares, luego la cerró a la tasa de mercado real cerca de 60.000 dólares, quedándose con la diferencia.
Halborn estimó que el esquema generó alrededor de un 900% de beneficio por ronda en diez iteraciones. La firma de seguridad también señaló que la infraestructura PriceUpKeep objetivo había sido excluida del alcance del programa de recompensas por errores de Ostium, reduciendo las probabilidades de que un investigador la hubiera señalado primero.
Después del drenaje, el USDC robado no permaneció quieto. PeckShieldAlert informó que el explotador lo intercambió por 12.080 ETH y envió 10.540 ETH al mezclador Tornado Cash.
Ostium informó por primera vez a su comunidad sobre el incidente el 16 de julio, diciendo solo que el comercio estaba pausado y que las autoridades habían sido notificadas. La empresa ha prometido un informe técnico post-mortem en los próximos días.
Lo que aún no ha detallado es cómo se indemnizará a los proveedores de liquidez, que absorbieron todo el golpe. Dijo que aún está trabajando en una vía a seguir para ellos.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Cuánto fue robado a Ostium y qué fondos se vieron afectados?
Ostium indicó que el atacante drenó 23.752.746 USDC de su vault de proveedor de liquidez; el margen de los traders se mantenía en un contrato separado y no fue sustraído, por lo que la pérdida recayó sobre los proveedores de liquidez.
¿Cómo funcionó el exploit de Ostium?
El atacante utilizó una clave legítima de oráculo-firmante y un forwarder PriceUpKeep registrado para enviar precios con fecha futura correctamente firmados, luego abrió y cerró repetidamente posiciones, incluyendo una operación de Bitcoin abierta a un precio falso de 5.000 dólares y cerrada cerca del precio real de 60.000 dólares.
¿Cuándo reanudará Ostium las operaciones?
Ostium declaró el 20 de julio que estaba trabajando hacia un relanzamiento esta semana y daría al menos 24 horas de aviso antes de reanudar las operaciones, con las posiciones reabiertas al precio de reinicio.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
