Ostium vise un relancement cette semaine après une exploitation de vault de 23,7 millions de dollars
- Ostium prévoit de reprendre ses activités commerciales environ une semaine après qu'un attaquant ait vidé 23,75 millions de dollars de son pool de liquidités.
- L'exploitant a blanchi les fonds via Tornado Cash.
- Les positions des traders existants restent gelées mais inchangées, et Ostium n'a pas encore précisé comment les fournisseurs de liquidités seraient indemnisés pour leurs pertes.
Ostium prévoit de reprendre le trading cette semaine, environ cinq jours après qu'un attaquant a vidé son vault de liquidité, a déclaré l'échange basé sur Arbitrum lundi 20 juillet. Les traders et les fournisseurs de liquidité ont eu leurs fonds gelés depuis le 15 juillet, et la réactivation sera leur première chance d'agir sur leurs positions depuis près d'une semaine.
Le la société a déclaré qu'elle donnerait au moins 24 heures d'avertissement avant la réouverture du trading et que des auditeurs, des experts en cybersécurité externes et ses propres ingénieurs effectuaient d'abord les vérifications finales.
Lorsque la plateforme sera de nouveau en ligne, les positions existantes seront rouvertes au prix en vigueur au moment de la réactivation.
Ostium exploite un lieu de perpétuels décentralisés sur Arbitrum, permettant aux utilisateurs de prendre des paris à effet de levier sur le forex, les matières premières, les métaux, les actions et les cryptomonnaies depuis un portefeuille auto-détenu, avec des trades réglés en USDC. Il a levé 20 millions de dollars en série A en décembre 2025, co-dirigée par General Catalyst et Jump, selon DefiLlama.
Ce qui a été pris lors de l'exploitation d'Ostium et ce qui ne l'a pas été
Ostium a évalué la perte à 23 752 746 USDC dans un post du 19 juillet sur X, son chiffre le plus précis à ce jour. Le vol a touché le pool de liquidité d'Ostium, le vault où les fournisseurs de liquidité déposent des USDC pour soutenir les positions des traders et régler les profits et pertes.
Dans un message de suivi que cela a été fait après qu'il a confirmé l'exploitation, Ostium a déclaré que « les positions des utilisateurs restent ouvertes et non modifiables, et la marge des traders reste inchangée dans les contrats intelligents de trading gelés ».
Initialement, il n'y avait pas de consensus général sur le rapport concernant la perte estimée. La société de sécurité Blockaid a rapporté une perte d'environ 18 millions de dollars. Un autre rapport l'a évaluée à 20 millions de dollars, tandis que la comptabilité d'Ostium et une enquête de Galaxy Research ont toutes deux abouti à 23.75 million.
Une clé de signature, et non un bug de contrat intelligent
Selon Galaxy, l'attaquant détenait deux identifiants légitimes qui ne sont censés être distribués que par la gouvernance d'Ostium : une clé de signature d'oracle autorisée et un forwarder PriceUpKeep enregistré, le rôle qui exécute les commandes en attente.
Le vérificateur d'Ostium vérifie qu'un rapport de prix est signé par un signataire approuvé, mais pas si le prix est réel. Avec les deux identifiants en main, l'attaquant a alimenté le système avec un prix signé correctement et daté dans le futur, et a négocié contre celui-ci.
La société de sécurité Halborn a décrit les mécanismes en détail, affirmant que l'attaquant a ouvert une position sur le Bitcoin à un prix fabriqué de 5 000 $, puis l'a clôturée au taux de marché réel d'environ 60 000 $, empochant l'écart.
Halborn a estimé que le schéma a généré environ 900 % de profit par tour sur dix itérations. La société de sécurité a également noté que l'infrastructure PriceUpKeep ciblée avait été exclue du périmètre du programme de prime pour bogues d'Ostium, réduisant les chances qu'un chercheur l'ait signalée en premier.
Après le vidage, l'USDC volé n'est pas resté immobile. PeckShieldAlert a rapporté que l'exploiteur l'a échangé contre 12 080 ETH et a envoyé 10 540 ETH au mélangeur Tornado Cash.
Ostium a d'abord informé sa communauté de l'incident le 16 juillet, indiquant seulement que le trading était suspendu et que les autorités avaient été notifiées. L'entreprise a promis un post-mortem technique dans les jours à venir.
Ce qu'elle n'a pas encore détaillé est la manière dont les fournisseurs de liquidité, qui ont absorbé le choc total, seront indemnisés. Elle a déclaré qu'elle travaillait encore à déterminer une voie à suivre pour eux.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Combien d'argent a été volé à Ostium et quels fonds ont été affectés ?
Ostium a indiqué que l'attaquant avait vidé 23 752 746 USDC de son coffre-fort de fournisseur de liquidités ; la marge des traders était détenue dans un contrat séparé et n'a pas été prise, donc la perte a pesé sur les fournisseurs de liquidités.
Comment l'exploitation d'Ostium a-t-elle fonctionné ?
L'attaquant a utilisé une clé de signataire oracle légitime et un forwarder PriceUpKeep enregistré pour soumettre des prix correctement signés avec une date future, puis a ouvert et fermé à plusieurs reprises des positions, y compris un trade sur le Bitcoin ouvert à un faux prix de 5 000 $ et fermé près du vrai prix de 60 000 $.
Quand Ostium reprendra-t-il ses activités commerciales ?
Ostium a déclaré le 20 juillet qu'il travaillait à un relancement cette semaine et donnerait au moins 24 heures d'avertissement avant la reprise des transactions, avec les positions rouvertes au prix de redémarrage.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
