Ostiumは、2370万ドルの金庫の不正利用事件後、今週中に再始動を目指している。

アービトラムを拠点とする取引所Ostiumは、攻撃者によって流動性保管庫が空にされてから約5日後の今週中に取引を再開する予定だと、7月20日（月）に発表した。トレーダーと流動性提供者は7月15日から資金を凍結されており、今回の再開は彼らにとって約1週間ぶりにポジションを行使できる機会となる。.

同社 は 、取引再開の少なくとも24時間前には通知すると述べ、監査人、外部のサイバーセキュリティ専門家、および自社のエンジニアが最終チェックを事前に実施していると説明した。

プラットフォームがオンラインに戻ると、既存のポジションは再開時の価格で再開されます。.

OstiumはArbitrum上で分散型無期限債取引プラットフォームを運営しており、ユーザーは自己管理ウォレットから外国為替、商品、貴金属、株式、仮想通貨にレバレッジをかけて投資することができ、取引はUSDCで決済される。Defi Llama Defiよると、Ostiumは2025年12月にGeneral CatalystとJumpが共同で主導するシリーズAラウンドで2000万ドルを調達した。.

Ostiumのエクスプロイトで何が盗まれ、何が盗まれなかったのか

Ostiumは7月19日にXに投稿した記事で、損失額を23,752,746 USDCと発表した。これは同社がこれまで発表した中で最も正確な数字である。この 盗難は、流動性プロバイダーがトレーダーのポジションを裏付け、損益を決済するためにUSDCを預け入れる保管庫であるOstium Liquidity Poolを襲った。

Ostiumは、この脆弱性を確認した後に出したtrac」と述べた。フォローアップ投稿で 、「ユーザーのポジションはオープンのまま変更できず、凍結されたスマートにおけるトレーダーの証拠金も変更されない

当初、推定損失額に関する報道には概ね一致した見解がなかった。セキュリティ企業のBlockaidは損失額を約1800万ドルと報告したが、別の報道では2000万ドルとされ、Ostium自身の会計報告と Galaxy Researchによる調査 いずれも2375万ドルという結果となった。

署名キーの問題であり、スマートtracのバグではない

Galaxyによると、攻撃者はOstiumのガバナンスによってのみ付与されるはずの2つの正当なdent情報、すなわち承認されたオラクル署名キーと、保留中の注文を処理する役割を担う登録済みのPriceUpKeepフォワーダーを所持していた。. 

Ostiumの検証ツールは、価格レポートが承認された署名者によって署名されているかどうかは確認しますが、価格が本物かどうかは確認しません。攻撃者は両方のdent情報を入手し、正しく署名された将来の日付の価格をシステムに入力して、それに対して取引を行いました。.

セキュリティ企業のハルボーンは 、攻撃者の手口を詳細に説明し、攻撃者は Bitcoin ポジションを建て、その後、実際の市場価格である60,000ドル付近でポジションを決済し、その差額を利益として得たと述べた。 

ハルボーン氏は、このスキームが10回の反復で1ラウンドあたり約900%の利益を生み出したと推定している。また、同セキュリティ企業は、標的となったPriceUpKeepのインフラストラクチャがOstiumのバグ報奨金プログラムの対象から除外されていたため、研究者が最初にそれを発見する可能性が低かったと指摘している。.

資金流出後、盗まれたUSDCはそのままでは留まりませんでした。PeckShieldAlertの報告によると、攻撃者はそれを12,080 ETHと交換し、10,540 ETHをミキサーのTornado Cashに送金したとのことです。.

Ostiumは7月16日に初めてこのdent についてコミュニティに報告し、取引を一時停止し、当局に通知したとだけ伝えた。同社は今後数日中に技術的な事後検証を行うと約束している。. 

未だ明らかにされていないのは、損失を全額負担した流動性供給業者への補償方法である。同社は、彼らへの対応策を現在検討中だと述べている。.