☠️ Там у перп-декс Ostium случился эксплойт (анонс Blockaid), вот разбор 🤖-падавана:
🔵️ Main exploit tx | Exploiter address
🔍 Что произошло (суть атаки):
Ostium взлом — это oracle-timing эксплойт, а НЕ дренер твоих аппрувов:
🔵️ Был скомпрометирован ключ, подписывающий цены оракула.
🔵️ Атакующий через зарегистрированный PriceUpKeep-форвардер подавал подписанные ценовые отчёты с будущими таймстампами → это создавало искусственную «прибыль» по его позициям.
🔵️ Эта «прибыль» выплачивалась ему из LP-волта (≈20 транзакций в цикле).
💰 Сколько украдено (ончейн подтверждено двумя независимыми методами):
🔵️ Кластер обналичил ровно эти 23.75M USDC в 11 084.58 ETH через KyberSwap.
🔵️ Публичные цифры занижены: $11.86M — это только одна крупнейшая транзакция (та самая, что светили в твитах), а $18M — ранняя оценка. Фактические потери больше
🤩Деньги ВСЁ ЕЩЁ на Arbitrum и не двигаются
🔵️ Украденное сконвертировано в 11 084.58 ETH (≈$21.5M) и «припарковано»: 10 свежих кошельков по 1000 ETH + консолидация 1084.57 ETH на
0xdb29…2bb8.🔵️ НЕ бриджено на Ethereum, НЕ в CEX, НЕ в Tornado/ChangeNOW. На 15:52 UTC у всех этих кошельков ноль исходящих — средства подготовлены к отмыву, но пока статичны.
📢 Официальная реакция
Единственное заявление @Ostium (15:18 UTC): «We are aware of the issue with the OLP vault. We have paused all trading. The team is investigating.» То есть торги приостановлены. Инструкций пользователям и плана компенсации пока НЕ дали.
⚠️ Какие средства под угрозой (проверено ончейн):
🔴 LP-депозиторы (oLP) — основной удар. Убыток абсорбирует именно LP-волт, из которого шла выплата атакующему. В волте
0x20d419… осталось всего ≈8.99M USDC — выход по справедливой цене (NAV) ограничен этим остатком.🟢 Коллатераль открытых позиций — на месте. Контракт TradingStorage
0xcCd58910… держит $28.85M USDC, прямого касания атакой ончейн не видно.🟢 Активного оттока прямо сейчас нет — в окне 15:12–15:34 UTC движения из волта нормального размера, массового слива не идёт. Эксплойт-транзакции были раньше.
🔍 Стоит ли выводить / отзывать аппрувы:
Это НЕ дренер аппрувов, так что «прямо сейчас всё утекает из твоего кошелька» — не тот случай. Но по риск-менеджменту (не фин.совет), пока нет пост-мортема, разумно:
1️⃣ Отозвать USDC-allowance на контракты Ostium (revoke.cash / Arbitrum):
🔵️
0xcCd5891083A8acD2074690F65d3024E7D13d66E7 (TradingStorage — главный spender коллатераля)🔵️
0x6D0bA1f9996DBD8885827e1b2e8f6593e7702411 (Trading — роутер)🔵️
0x20d419a8e12c45f88fda7c5760bb6923cee27f98 (oLP-волт — если давал approve для LP)2️⃣ LP-провайдерам (oLP): попробовать выйти при возможности, но учти — NAV просел и ликвидности на всех может не хватить (волт истощён).
3️⃣ Открытые позиции: прямого слива коллатераля нет, но есть риск платёжеспособности волта и что торги/вывод заморожены паузой. Если сможешь закрыть/вывести коллатераль после снятия паузы — разумно сделать это до прояснения ситуации.
4️⃣ Ничего не депонировать и не открывать новое до официального post-mortem.
👀 Зацепка на атрибуцию (L1)
Газ для старта пришёл с двух хот-кошельков с очень высоким nonce (
0xeba8814981…, 0x62425cd6bd…) — это почерк withdrawal-кошелька биржи или instant-swap сервиса (класс FixedFloat/ChangeNOW), а затем забриджен на Arbitrum через Inbox в 10:25 UTC. То есть ниточка к личности потенциально существует — это направление для доследования до конкретной биржи (KYC).