Ostiumプラットフォーム、巧妙な価格操作エクスプロイトにより1,800万ドルを喪失

内部インフラを悪用した攻撃

未来の日付を持つ偽の価格データが送信されたことで、悪意ある攻撃者は通常の取引を極めて高い利益をもたらす取引に変えることに成功しました。この結果、攻撃者は分散型プラットフォームOstiumから約1,800万ドルを不正に引き出しました。攻撃者はこれらのUSDCステーブルコイン資金を、プロジェクトの流動性ボールトから直接盗み出しました。このボールトはArbitrumネットワーク上でシームレスに稼働しています。セキュリティ専門企業Blockaidの研究者らが最初にこの攻撃を発見しました。

資金を引き出すため、攻撃者はOstiumの内部インフラを巧妙に悪用しました。まず、登録済みのPriceUpKeepコンポーネントへの不正アクセスに成功しました。このモジュールを通じて、攻撃者は未来のタイムスタンプを持つ偽造の価格データを送信しました。プラットフォームはこの虚偽の情報を誤って正規のものとして受け入れてしまいました。その結果、システムは保有中のポジションが莫大な利益を生んでいると誤って計算してしまいました。オンチェーンの詳細はこちらのArbitrumトランザクション記録で確認できます。

スマートコントラクトによる自動的な資金流出

この欺瞞行為の後、スマートコントラクトは自動的に約1,800万USDCを攻撃者に払い出しました。実際には、原資産の本来の価値が上昇したわけではありません。この莫大な利益は、プラットフォーム内部の歪んだ計算結果の中にのみ存在するものでした。

Ostiumのエコシステムについて

Ostiumは、ユーザーがコモディティ、通貨、株価指数を最大200倍という驚異的なレバレッジで取引できるようにするプラットフォームです。正確な資産価値を算出するため、このプロジェクトは独自の価格データシステムに依存しています。具体的には、サードパーティのGelatoオートメーションネットワークがリアルタイムの価格をブロックチェーンに供給しています。同時に、PriceUpKeepコントラクトは取引実行の直前にこれらの現在価格を丹念に記録します。今回の残念な侵害以前、Ostiumは総額2,780万ドルの資金調達に成功していました。この目覚ましい資金調達には、2025年後半に実施された2,400万ドルという大型ラウンドも含まれています。ローンチ以降、このプラットフォームは実に500億ドルを超える取引高を記録してきました。