Ostium punta al rilancio questa settimana dopo la violazione di sicurezza che ha compromesso un caveau da 23,7 milioni di dollari
- Ostium prevede di riprendere le negoziazioni circa una settimana dopo che un hacker ha sottratto 23,75 milioni di dollari dal suo pool di liquidità.
- Lo sfruttatore ha riciclato i fondi attraverso Tornado Cash.
- Le posizioni dei trader esistenti rimangono congelate ma invariate e Ostium non ha ancora specificato come i fornitori di liquidità verranno risarciti per le loro perdite.
Ostium prevede di riprendere le negoziazioni questa settimana, circa cinque giorni dopo che un hacker ha svuotato il suo caveau di liquidità, ha annunciato lunedì 20 luglio la piattaforma di scambio con sede su Arbitrum. I fondi dei trader e dei fornitori di liquidità sono stati congelati dal 15 luglio e la ripresa delle negoziazioni rappresenterà la loro prima opportunità di operare sulle posizioni dopo quasi una settimana.
L' azienda ha dichiarato che avrebbe dato un preavviso di almeno 24 ore prima della riapertura delle contrattazioni e che i revisori dei conti, esperti esterni di sicurezza informatica e i propri ingegneri stavano effettuando i controlli finali.
Quando la piattaforma tornerà online, le posizioni esistenti verranno riaperte al prezzo vigente al momento della riattivazione.
Ostium gestisce una piattaforma decentralizzata per contratti perpetui su Arbitrum, che consente agli utenti di effettuare scommesse con leva su forex, materie prime, metalli, azioni e criptovalute da un portafoglio self-custody, con le transazioni regolate in USDC. A dicembre 2025 ha chiuso un round di finanziamento di Serie A da 20 milioni di dollari, co-guidato da General Catalyst e Jump, secondo quanto riportato da DefiLlama.
Cosa è stato preso durante l'exploit di Ostium e cosa no
Ostium ha stimato la perdita a 23.752.746 USDC in un post del 19 luglio su X, la cifra più precisa finora fornita. Il furto ha colpito l'Ostium Liquidity Pool, il caveau in cui i fornitori di liquidità depositano USDC a supporto delle posizioni dei trader e per regolare profitti e perdite.
In un post successivo, pubblicato dopo la conferma della vulnerabilità, Ostium ha dichiarato che "le posizioni degli utenti rimangono aperte e non modificabili, e il margine dei trader rimane invariato nei contratti intelligenti di trading bloccatitrac.
Inizialmente, non c'era un consenso generale sulle stime relative alla perdita. La società di sicurezza Blockaid ha riportato una perdita di circa 18 milioni di dollari. Un'altra fonte l'ha indicata a 20 milioni di dollari, mentre i calcoli della stessa Ostium e una revisione di Galaxy Research si sono entrambi attestati a 23,75 milioni di dollari.
Una chiave di firma, non un bug deltracintelligente
Secondo Galaxy, l'attaccante era in possesso di duedentlegittime che dovrebbero essere rilasciate solo dalla governance di Ostium: una chiave di firmatario oracolo autorizzata e un forwarder PriceUpKeep registrato, il ruolo che gestisce gli ordini in sospeso.
Il sistema di verifica di Ostium controlla che un report sui prezzi sia firmato da un firmatario autorizzato, ma non se il prezzo sia reale. Avendo entrambe ledenta disposizione, l'attaccante ha inserito nel sistema un prezzo con data futura e correttamente firmato e ha effettuato un'operazione di trading basandosi su di esso.
La società di sicurezza Halborn ha descritto nel dettaglio il meccanismo dell'attacco, affermando che l'aggressore ha aperto una Bitcoin a un prezzo fittizio di 5.000 dollari, per poi chiuderla al prezzo di mercato reale, vicino ai 60.000 dollari, intascando la differenza.
Halborn ha stimato che il sistema generasse un profitto di circa il 900% per round su dieci iterazioni. L'azienda di sicurezza ha anche notato che l'infrastruttura PriceUpKeep, presa di mira, era stata esclusa dal programma di bug bounty di Ostium, riducendo le probabilità che un ricercatore la segnalasse per primo.
Dopo il prelievo, gli USDC rubati non sono rimasti al loro posto. PeckShieldAlert ha segnalato che l'autore del furto li ha scambiati con 12.080 ETH e ha inviato 10.540 ETH al mixer Tornado Cash.
Ostium ha informato la sua communitydent per la prima volta il 16 luglio, limitandosi a dire che le negoziazioni erano state sospese e che le autorità erano state avvisate. L'azienda ha promesso un'analisi tecnica approfondita nei prossimi giorni.
Ciò che non è stato ancora specificato è come i fornitori di liquidità, che hanno assorbito l'intero impatto, verranno risarciti. L'azienda ha dichiarato di essere ancora al lavoro per trovare una soluzione che li tuteli.
Le menti più brillanti del mondo delle criptovalute leggono già la nostra newsletter. Vuoi partecipare? Unisciti a loro.
Domande frequenti
Quanto è stato rubato a Ostium e a chi appartenevano i fondi coinvolti?
Ostium ha dichiarato che l'attaccante ha prelevato 23.752.746 USDC dal caveau del suo fornitore di liquidità; il margine dei trader era detenuto in untracseparato e non è stato prelevato, quindi la perdita è ricaduta sui fornitori di liquidità.
Come funzionava l'exploit di Ostium?
L'attaccante ha utilizzato una chiave di firma oracolo legittima e un forwarder PriceUpKeep registrato per inviare prezzi con data futura e firmati correttamente, quindi ha ripetutamente aperto e chiuso posizioni, tra cui una transazione Bitcoin aperta a un prezzo fittizio di 5.000 dollari e chiusa vicino al prezzo reale di 60.000 dollari.
Quando riprenderanno le contrattazioni di Ostium?
Il 20 luglio Ostium ha dichiarato di essere al lavoro per una riapertura prevista per questa settimana e che avrebbe dato un preavviso di almeno 24 ore prima della ripresa delle negoziazioni, con le posizioni riaperte al prezzo di riavvio.
Disclaimer. Le informazioni fornite non costituiscono consulenza di trading. Cryptopolitan/ non si assume alcuna responsabilità per gli investimenti effettuati sulla base delle informazioni fornite in questa pagina. Consigliamotronvivamente di effettuare ricerche indipendentident di consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Hannah Collymore
Hannah è una scrittrice e redattrice con quasi dieci anni di esperienza nella scrittura di blog e nella cronaca di eventi nel settore delle criptovalute. Collabora con Cryptopolitan, occupandosi della pagina notizie e analizzando gli ultimi sviluppi in ambito DeFi, RWA, regolamentazione delle criptovalute, intelligenza artificiale e tecnologie all'avanguardia. Si è laureata in Economia aziendale presso l'Università di Arcadia.
