Ostium 确认链下遭入侵，导致 $24M Exploit 被利用，排除智能合约漏洞

链上永续合约交易所 Ostium 已确认其在 7 月 15 日的漏洞利用事件：该事件从其 OLP 金库中清算了 2375万 USDC。该事件源于链下基础设施遭到破坏，而非智能合约漏洞。协议在周三发布的事后复盘中表示，攻击者利用未经授权的访问提交了虚假的 BTC-USD 价格报告，从而制造了虚假的交易盈利。团队明确排除了智能合约代码逻辑中的漏洞或对协议多签的破坏。7 月 23 日，Ostium 在迁移到带有已更新安全控制的全新线上环境后恢复交易。此次事件发生在 Ostium 于 5 月与 Nasdaq 达成合作、为权益永续产品提供支持的数月之后，当时其累计交易额已超过 500 亿美元。

Ostium 将链下基础设施识别为攻击向量

Ostium 的调查结果显示，未经授权的访问发生在协议的链下基础设施中，从而使攻击者能够提交虚假的 BTC-USD 价格报告。团队表示：“基于我们的调查，我们没有证据表明此次事件是由 Ostium 的智能合约代码逻辑中的漏洞，或对管理协议的多签的破坏所导致。”攻击者使用了协议已识别的 forwarder 路径来执行漏洞利用。

攻击者分多阶段执行漏洞利用，从 OLP 金库中清算 2375万 USDC

攻击者首先用 100 USDC 的仓位测试漏洞利用，该测试产生了约 897.8 USDC 的虚假利润。测试成功后，攻击者执行了主批次，将 1190万 USDC 转移到受益人钱包。随后攻击者又进行了 6 次额外的独立循环。总计，该漏洞利用从 OLP 金库中清算了 2375万 USDC。Ostium 的自动化监控检测到了该活动，并阻止了进一步的提款。

Ostium 迁移到新线上环境，并于 7 月 23 日恢复交易

漏洞利用事件发生后，Ostium 迁移到一个带有已更新安全控制的全新线上环境。交易于 7 月 23 日恢复。协议表示，此次迁移解决了本次攻击中被利用的漏洞。

协议确认交易员抵押品未受漏洞利用影响

Ostium 确认交易员抵押品不受该漏洞利用影响，用户保证金仍留在协议的交易合约中。团队表示：“针对流动性提供者的单独恢复计划正在最终制定中，并将在一篇单独的事后文章中分享。”协议未提供该恢复计划公告的时间表。

常见问题

是什么导致 Ostium 在 7 月 15 日的漏洞利用事件，从而清算了 23.75 million 美元？

Ostium 确认，该漏洞利用源于对其链下基础设施的未经授权访问，该访问使攻击者能够提交虚假的 BTC-USD 价格报告并生成虚假的交易盈利。协议排除了智能合约代码中的漏洞或对协议多签的破坏。

Ostium 的攻击者从 OLP 金库中清算了多少 USDC？

攻击者通过多次循环从 Ostium 的 OLP 金库中一共清算了 2375万 USDC：先从 100 USDC 的测试仓位开始，该仓位产生了 897.8 USDC 的虚假利润；随后执行了主批次转移 1190万 USDC，并进行了 6 次额外的独立循环。

漏洞利用事件后 Ostium 何时恢复交易？

在迁移到带有已更新安全控制的全新线上环境后，Ostium 于 7 月 23 日恢复交易。协议的自动化监控在迁移之前已检测到该漏洞利用活动并阻止了进一步提款。