Ostium perdió 237 mil dólares debido a una vulnerabilidad en el oráculo de precios fuera de la cadena; después de la migración, las operaciones volvieron a la normalidad.

Ostium, una plataforma de trading de RWA basada en Arbitrum, sufrió una grave brecha de seguridad el 15 de julio, provocando la extracción de aproximadamente 237,500 USDC del vault público de proveedores de liquidez. 

El ataque comprometió la infraestructura de precios off-chain del protocolo, no los contratos inteligentes on-chain ni el sistema de gobierno, lo que resalta que las plataformas DeFi aún pueden ser vulnerables a las debilidades de la infraestructura IT tradicional.

Según el informe publicado por la empresa en la plataforma social X, el atacante aprovechó el sistema de liquidación de precios pull-based de Ostium, el cual depende de fuentes de datos off-chain que generan reportes de precios firmados para mercados como BTC-USD. 

Tras irrumpir ilegalmente en la infraestructura, el atacante envió reportes falsos que mostraban el precio de Bitcoin en 5,000 y 60,000 dólares respectivamente, desviándose ampliamente del precio real de mercado. Entre las 14:18 y las 14:23 UTC, ejecutaron rápidamente ocho operaciones de apertura y cierre de posiciones a través de rutas legítimas de reenvío reconocidas por el protocolo. 

El atacante abrió posiciones a un precio manipulado y las cerró a otro, generando utilidades y pérdidas ficticias en transacciones atómicas, lo que forzó al vault OLP a pagar casi 240,000 USDC en beneficios ilícitos.

Ostium subrayó que el incidente no se originó por defectos en la lógica del contrato inteligente ni por un fallo en el mecanismo de firmas múltiples de gobernanza. Durante el evento, las garantías de los traders permanecieron seguras en los contratos de trading y las posiciones de otros usuarios no se vieron afectadas por la manipulación de precios.

Rápida implementación de aislamiento on-chain y migración a infraestructuras reforzadas

El sistema de monitoreo automático detectó la actividad anómala en cuestión de minutos, activando un mecanismo de fusible del vault para evitar mayores retiros. El equipo ejecutó la primera transacción de aislamiento en la cadena a las 14:55 UTC y, en menos de 20 minutos tras la transacción piloto inicial, congeló todos los contratos de trading.

Tras el incidente, Ostium migró a un nuevo entorno de producción con controles reforzados de aprobación múltiple y restableció las operaciones el 23 de julio. Los USDC robados fueron convertidos a ETH y dispersos en una red de billeteras bajo control del atacante, siendo una gran parte de los fondos transferida a través de Tornado Cash, lo que dificulta aún más su recuperación. 

Ostium contrató a la empresa de ciberseguridad Mandiant y SEAL 911, además de expertos en inteligencia blockchain como zeroShadow y Collisionless, para llevar a cabo una auditoría forense y rastrear los fondos. 

La compañía está coordinando activamente con autoridades, exchanges y puentes para congelar los fondos en la medida de lo posible y espera anunciar en los próximos días el plan de recuperación para los proveedores de liquidez afectados.