coindesk.com
Un atacante drenó aproximadamente 18 millones de dólares en $USDC del fondo de liquidez de Ostium en Arbitrum mediante una explotación de manipulación de oráculos detectada por firma de seguridad en blockchain Blockaid, en cadena los datos muestran.
Según la alerta de Blockaid, el atacante utilizó un reenviador PriceUpKeep registrado, un componente de la infraestructura automatizada de Ostium, para enviar informes de precios de oráculo con marcas de tiempo fechadas en el futuro. Los informes manipulados crearon la apariencia de operaciones rentables, lo que desencadenó un pago de 18 millones de dólares $USDC desde la bóveda.
Ostium es un exchange descentralizado de perpetuos en Arbitrum que permite a los usuarios comerciar con activos del mundo real, incluyendo materias primas, forex e índices bursátiles, con un apalancamiento de hasta 200x, liquidando en $USDC.
Ostium utiliza un sistema personalizado de alimentación de precios para rastrear los precios de activos del mundo real, con una red de automatización de terceros llamada Gelato, responsable de impulsar esos precios en la cadena en los momentos adecuados. Un contrato inteligente llamado PriceUpKeep está en el centro de ese proceso, actuando como el disparador que escribe los datos de precios más recientes en la blockchain cada vez que se necesita ejecutar una operación.
El ataque es coherente con un patrón de exploits en oráculos y sistemas de custodios observado en DeFi en los últimos años, el más reciente de los cuales resultó en el drenaje de $6 millones de Summer.fi la semana pasada. El exploit implica que los atacantes obtengan acceso a roles privilegiados y manipulen el momento o el contenido de los datos de precios para extraer fondos de los pools de liquidez.
Ostium había recaudado un total de 27.8 millones de dólares en financiamiento, incluyendo una Serie A de 24 millones de dólares co-liderada por General Catalyst y Jump Crypto a finales de 2025, y había procesado más de 50 mil millones de dólares en volumen acumulado de operaciones.