Ostium prévoit un relancement cette semaine après une faille de sécurité de 23,7 millions de dollars dans ses coffres-forts
- Ostium prévoit de reprendre ses échanges environ une semaine après qu'un pirate informatique a détourné 23,75 millions de dollars de sa réserve de liquidités.
- L'escroc a blanchi les fonds via Tornado Cash.
- Les positions des traders existants restent gelées mais inchangées, et Ostium n'a pas encore précisé comment les fournisseurs de liquidités seront indemnisés pour leurs pertes.
Ostium prévoit de reprendre les échanges cette semaine, environ cinq jours après qu'un pirate a vidé son coffre-fort de liquidités, a annoncé lundi 20 juillet la plateforme d'échange basée sur Arbitrum. Les fonds des traders et des fournisseurs de liquidités sont gelés depuis le 15 juillet, et cette reprise sera leur première occasion de prendre position depuis près d'une semaine.
L' entreprise a déclaré qu'elle donnerait un préavis d'au moins 24 heures avant la réouverture des marchés et que des auditeurs, des experts externes en cybersécurité et ses propres ingénieurs effectuaient d'abord les dernières vérifications.
Lorsque la plateforme sera de nouveau en ligne, les positions existantes seront rouvertes au prix en vigueur au redémarrage.
Ostium exploite une plateforme de contrats perpétuels décentralisée sur Arbitrum, permettant aux utilisateurs de prendre des positions à effet de levier sur le forex, les matières premières, les métaux, les actions et les cryptomonnaies depuis un portefeuille dont ils détiennent eux-mêmes les actifs, les transactions étant réglées en USDC. La société a clôturé une levée de fonds de série A de 20 millions de dollars en décembre 2025, co-dirigée par General Catalyst et Jump, selon DefiLlama.
Qu'est-ce qui a été pris lors de l'exploitation d'Ostium et qu'est-ce qui ne l'a pas été ?
Ostium a chiffré la perte à 23 752 746 USDC dans une publication du 19 juillet sur X, soit le chiffre le plus précis à ce jour. Le vol a touché le pool de liquidités d'Ostium, le coffre-fort où les fournisseurs de liquidités déposent des USDC pour garantir les positions des traders et régler les profits et les pertes.
Dans un message de suivi publié après avoir confirmé l'exploitation de la faille, Ostium a déclaré que « les positions des utilisateurs restent ouvertes et non modifiables, et la marge des traders reste inchangée dans les contrats intelligents de trading geléstrac.
Au départ, aucun consensus ne se dégageait quant à l'estimation des pertes. La société de sécurité Blockaid les évaluait à environ 18 millions de dollars. Un autre rapport les chiffrait à 20 millions de dollars, tandis que les comptes d'Ostium et une analyse de Galaxy Research aboutissaient tous deux à 23,75 millions de dollars.
Une clé de signature, pas un bugtracintelligent
Selon Galaxy, l'attaquant détenait deuxdentlégitimes qui ne sont censés être distribués que par la gouvernance d'Ostium : une clé de signature d'oracle autorisée et un transmetteur PriceUpKeep enregistré, le rôle qui exécute les ordres en attente.
Le système de vérification d'Ostium contrôle qu'un rapport de prix est signé par un signataire autorisé, mais pas si le prix est réel. Disposant des deuxdent, l'attaquant a fourni au système un prix futur correctement signé et a effectué une transaction en contrepartie.
La société de sécurité Halborn a décrit en détail le mécanisme, indiquant que l'attaquant avait ouvert une Bitcoin à un prix fictif de 5 000 $, puis l'avait clôturée au cours réel du marché, aux alentours de 60 000 $, empochant ainsi la différence.
Halborn a estimé que le système avait généré un profit d'environ 900 % par cycle sur dix itérations. La société de sécurité a également noté que l'infrastructure PriceUpKeep ciblée n'avait pas été incluse dans le périmètre du programme de primes aux bogues d'Ostium, ce qui réduisait les chances qu'un chercheur l'ait signalée en premier.
Après la fuite, les USDC volés n'ont pas disparu. PeckShieldAlert a signalé que le pirate les a échangés contre 12 080 ETH et a envoyé 10 540 ETH au service de mixage Tornado Cash.
Ostium a informé sa communauté de l'dent le 16 juillet, se contentant d'indiquer que les échanges étaient suspendus et que les autorités avaient été prévenues. L'entreprise a promis une analyse technique approfondie dans les prochains jours.
L'entreprise n'a pas encore précisé comment les fournisseurs de liquidités, qui ont subi l'intégralité des pertes, seront indemnisés. Elle a indiqué qu'elle travaillait encore à une solution pour eux.
Les plus grands experts en cryptomonnaies lisent déjà notre newsletter. Envie d'en faire partie ? Rejoignez-les !
FAQ
Quel montant a été volé à Ostium et quels fonds ont été affectés ?
Ostium a déclaré que l'attaquant avait dérobé 23 752 746 USDC de son coffre-fort de fournisseur de liquidités ; la marge des traders était détenue dans untracséparé et n'a pas été prélevée, la perte est donc retombée sur les fournisseurs de liquidités.
Comment fonctionnait la faille Ostium ?
L'attaquant a utilisé une clé de signature d'oracle légitime et un transmetteur PriceUpKeep enregistré pour soumettre des prix futurs correctement signés, puis a ouvert et fermé à plusieurs reprises des positions, y compris une transaction Bitcoin ouverte à un faux 5 000 $ et fermée près du réel 60 000 $.
Quand Ostium reprendra-t-il ses échanges ?
Ostium a annoncé le 20 juillet qu'elle travaillait à une relance cette semaine et qu'elle donnerait un préavis d'au moins 24 heures avant la reprise des échanges, les positions étant rouvertes au prix de redémarrage.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Hannah Collymore
Hannah est rédactrice et éditrice, forte d'une expérience de près de dix ans dans la rédaction de blogs et la couverture d'événements liés aux cryptomonnaies. Chez Cryptopolitan, elle contribue à la page d'actualités en rédigeant des articles et en analysant les dernières évolutions de la finance décentralisée DeFi, des comptes gérés par les utilisateurs (RWA), de la réglementation des cryptomonnaies, de l'intelligence artificielle (IA) et des technologies de pointe. Elle est diplômée en administration des affaires de l'université Arcadia.
