Ostium’da oracle yetkisi aşıldı: 23,75 milyon USDC çalındı

Ostium(Ostium) protokolünde saldırgan, off-chain fiyat raporlama yetkisini ele geçirerek Bitcoin(BTC) fiyatını manipüle etti ve 5 dakika içinde 23,75 milyon USD Coin(USDC) çekti. Kayıp tutarı 23,75 milyon dolar değerinde, yani yaklaşık 33 milyar won seviyesinde hesaplandı.

Ostium, resmi raporunda saldırganın zincir dışı yetkiyi aldıktan sonra protokole kayıtlı meşru iletim kanalını kullandığını bildirdi. Bu kanaldan BTC-USD piyasasına 5.000 dolar(yaklaşık 7 milyon won) ve 60.000 dolar(yaklaşık 84 milyon won) seviyelerinde sahte fiyatlar gönderildi.

Saldırgan, aynı işlem içinde pozisyon açma ve tasfiye adımlarını tekrarlayarak arbitraj yaptı. İlk hareketin 100 USDC(yaklaşık 140.000 won) ile başladığı, ardından işlem büyüklüğünün kademeli olarak artırıldığı belirtildi.

Saldırı toplam 8 işlem üzerinden yürütüldü ve OLP kasasındaki engelleme mekanizması devreye girene kadar sürdü. Ostium, on-chain çoklu imza düzeyindeki çok taraflı onay sürecinin off-chain fiyat altyapısına uygulanmadığını, bunun da tekil yetki zafiyeti yarattığını açıkladı.

Çalınan fonlar Ethereum(ETH) varlığına çevrildikten sonra Tornado Cash üzerinden karıştırıldı. Fonların takibi sürerken olay, DeFi güvenliğinde yalnızca akıllı sözleşme kodunun değil, off-chain oracle yetki yönetiminin de kritik bir risk başlığı haline geldiğini gösterdi.