Ostium mira al rilancio questa settimana dopo un exploit da 23,7 milioni di dollari nel vault

Ostium prevede di riprendere il trading questa settimana, circa cinque giorni dopo che un attaccante ha svuotato il suo vault di liquidità, ha dichiarato lo scambio basato su Arbitrum lunedì 20 luglio. Trader e fornitori di liquidità hanno avuto i fondi congelati dal 15 luglio e la riavvio sarà la loro prima opportunità di agire sulle posizioni in quasi una settimana.

Il la società ha dichiarato che avrebbe dato almeno 24 ore di preavviso prima della riapertura del trading e che auditor, esperti di cybersecurity esterni e i suoi stessi ingegneri stavano eseguendo controlli finali.

Quando la piattaforma tornerà online, le posizioni esistenti verranno riaperte al prezzo vigente al momento del riavvio.

Ostium gestisce un venue decentralizzato per perpetui su Arbitrum, consentendo agli utenti di assumere scommesse leveraggiate su forex, materie prime, metalli, azioni e criptovalute da un portafoglio self-custody, con scambi liquidati in USDC. Ha chiuso una Serie A da 20 milioni di dollari a dicembre 2025, co-guidata da General Catalyst e Jump, secondo DefiLlama.

Cosa è stato preso durante l'exploit di Ostium e cosa no

Ostium ha stimato la perdita in 23.752.746 USDC in un post del 19 luglio su X, la sua cifra più precisa finora. La furto ha colpito l'Ostium Liquidity Pool, il vault dove i fornitori di liquidità depositano USDC per sostenere le posizioni dei trader e liquidare profitti e perdite.

In un post di follow-up che è stato fatto dopo aver confermato l'exploit, Ostium ha dichiarato che "le posizioni degli utenti rimangono aperte e non modificabili, e il margine del trader rimane invariato negli smart contract di trading congelati."

Inizialmente, non c'era un consenso generale sulla segnalazione della perdita stimata. La società di sicurezza Blockaid ha riportato la perdita intorno a 18 milioni di dollari. Un'altra segnalazione la ha stimata a 20 milioni, mentre la contabilità di Ostium e una revisione di Galaxy Research sono entrambe arrivate a $23.75 milioni.

Una chiave firmataria, non un bug dello smart contract

Secondo Galaxy, l'attaccante possedeva due credenziali legittime che dovrebbero essere rilasciate solo dal governo di Ostium: una chiave firmataria dell'oracle autorizzata e un forwarder PriceUpKeep registrato, il ruolo che soddisfa gli ordini pendenti. 

Il verificatore di Ostium controlla che un report del prezzo sia firmato da un firmatario approvato, ma non se il prezzo è reale. Con entrambe le credenziali in mano, l'attaccante ha alimentato il sistema con un prezzo firmato correttamente e datato nel futuro, scambiando contro di esso.

La società di sicurezza Halborn ha descritto la meccanica nei dettagli, affermando che l'attaccante ha aperto una posizione su Bitcoin a un prezzo fabbricato di 5.000 dollari, per poi chiuderla al tasso di mercato reale vicino a 60.000 dollari, incassando la differenza. 

Halborn ha stimato che lo schema ha generato un profitto di circa il 900% per round su dieci iterazioni. La società di sicurezza ha anche notato che l'infrastruttura PriceUpKeep target era stata esclusa dall'ambito del bug bounty di Ostium, riducendo le probabilità che un ricercatore l'avesse segnalata per prima.

Dopo lo svuotamento, gli USDC rubati non sono rimasti fermi. PeckShieldAlert ha riportato che l'exploiter li ha scambiati per 12.080 ETH e ha inviato 10.540 ETH al mixer Tornado Cash.

Ostium ha informato la sua comunità dell'incidente il 16 luglio, dichiarando solo che il trading era stato sospeso e che le autorità erano state notificate. L'azienda ha promesso un post-mortem tecnico nei prossimi giorni. 

Ciò che non ha ancora dettagliato è come i fornitori di liquidità, che hanno assorbito l'intero colpo, saranno risarciti. Ha dichiarato che sta ancora lavorando a una strada da seguire per loro.