Ostium visa relançamento nesta semana após exploit de US$ 23,7 milhões em seu cofre
- A Ostium planeja retomar as negociações cerca de uma semana após um atacante drenar $23,75 milhões de seu pool de liquidez.
- O explorador lavou os fundos através do Tornado Cash.
- As posições dos traders existentes permanecem congeladas, mas inalteradas, e a Ostium ainda não detalhou como os provedores de liquidez serão compensados por suas perdas.
A Ostium planeja retomar as negociações esta semana, cerca de cinco dias após um atacante drenar seu cofre de liquidez, disse a exchange baseada em Arbitrum na segunda-feira, 20 de julho. Traders e provedores de liquidez tiveram fundos congelados desde 15 de julho, e a reinicialização será sua primeira chance de agir sobre posições em quase uma semana.
O a empresa afirmou que daria pelo menos 24 horas de aviso antes do retorno das negociações e que auditores, especialistas externos em cibersegurança e seus próprios engenheiros estavam realizando verificações finais primeiro.
Quando a plataforma voltar ao ar, as posições existentes serão reabertas ao preço vigente no reinício.
A Ostium opera um venue de perpétuos descentralizado na Arbitrum, permitindo que os usuários façam apostas alavancadas em forex, commodities, metais, ações e criptomoedas a partir de uma carteira de auto-custódia, com negociações liquidadas em USDC. Ela fechou uma Série A de US$ 20 milhões em dezembro de 2025, co-liderada pela General Catalyst e Jump, segundo a DefiLlama.
O que foi levado durante o exploit da Ostium e o que não foi
A Ostium estimou a perda em 23.752.746 USDC em um post de 19 de julho no X, sua figura mais precisa até o momento. O roubo atingiu o Pool de Liquidez da Ostium, o cofre onde os provedores de liquidez depositam USDC para apoiar as posições dos traders e liquidar lucros e perdas.
Em um post de acompanhamento que foi feito após confirmar o exploit, a Ostium afirmou que “as posições dos usuários permanecem abertas e imodificáveis, e a margem do trader permanece inalterada nos contratos inteligentes de negociação congelados.”
Inicialmente, não havia consenso geral sobre os relatórios sobre a perda estimada. A empresa de segurança Blockaid relatou a perda em cerca de US$ 18 milhões. Outro relatório a colocou em US$ 20 milhões, enquanto a própria contabilidade da Ostium e uma revisão da Galaxy Research ambas chegaram a US$ 23.75 milhões.
Uma chave de assinante, não um bug de contrato inteligente
De acordo com a Galaxy, o atacante detinha duas credenciais legítimas que devem ser distribuídas apenas pela governança da Ostium: uma chave de assinante de oracle autorizada e um forwarder PriceUpKeep registrado, a função que cumpre pedidos pendentes.
O verificador da Ostium verifica se um relatório de preço é assinado por um assinante aprovado, mas não se o preço é real. Com ambas as credenciais em mãos, o atacante alimentou o sistema com um preço assinado corretamente e datado no futuro, negociando contra ele.
A empresa de segurança Halborn descreveu a mecânica em detalhes, afirmando que o atacante abriu uma posição em Bitcoin a um preço fabricado de US$ 5.000 e depois a fechou na taxa real de mercado perto de US$ 60.000, lucrando com a diferença.
A Halborn estimou que o esquema gerou cerca de 900% de lucro por rodada em dez iterações. A empresa de segurança também observou que a infraestrutura PriceUpKeep visada havia sido excluída do escopo de recompensa por bugs da Ostium, reduzindo as chances de um pesquisador tê-la sinalizado primeiro.
Após a drenagem, o USDC roubado não ficou parado. O PeckShieldAlert relatou que o explorador o trocou por 12.080 ETH e enviou 10.540 ETH para o mixer Tornado Cash.
A Ostium informou sua comunidade sobre o incidente pela primeira vez em 16 de julho, dizendo apenas que as negociações foram pausadas e que as autoridades foram notificadas. A empresa prometeu um post-mortem técnico nos próximos dias.
O que ainda não detalhou é como os provedores de liquidez, que absorveram o golpe total, serão ressarcidos. Ela disse que ainda está trabalhando em um caminho a seguir para eles.
Não apenas leia notícias sobre criptomoedas. Entenda-as. Inscreva-se em nossa newsletter. É grátis.
Perguntas Frequentes
Quanto foi roubado da Ostium e cujos fundos foram afetados?
A Ostium informou que o atacante drenou 23.752.746 USDC de seu vault de provedor de liquidez; a margem dos traders foi mantida em um contrato separado e não foi tomada, portanto, a perda recaiu sobre os provedores de liquidez.
Como funcionou o exploit na Ostium?
O atacante utilizou uma chave legítima de oráculo-assinante e um forwarder PriceUpKeep registrado para submeter preços corretamente assinados com datas futuras, depois abriu e fechou repetidamente posições, incluindo uma operação de Bitcoin aberta a um preço falso de $5.000 e fechada perto do valor real de $60.000.
Quando a Ostium retomará as negociações?
A Ostium informou em 20 de julho que estava trabalhando para um relançamento nesta semana e daria pelo menos 24 horas de aviso antes da retomada das negociações, com as posições reabertas ao preço de reinício.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
