A Ostium informou que um incidente de segurança de cinco minutos afetou seu cofre público de liquidez. O episódio pode ter causado perdas de até US$ 24 milhões, segundo estimativas de empresas de segurança. O problema atingiu o Ostium Liquidity Provider, ou OLP, e envolveu relatórios de oráculo autorizados, porém datados no futuro.

A cofundadora Kaledora Kiernan-Linn confirmou que a anomalia ocorreu entre 14h18 e 14h23 UTC de 15 de julho. Assim, a equipe identificou o comportamento irregular em poucos minutos e coordenou uma pausa nas negociações ainda dentro da primeira hora. No entanto, a executiva não divulgou o valor final das perdas nem apresentou a causa raiz do incidente.

As apurações iniciais indicam que o centro do problema não foi uma assinatura inválida. Em vez disso, empresas como Blockaid e Cyvers afirmaram que um encaminhador registrado do PriceUpKeep submeteu relatórios autorizados com data futura. Como resultado, esses dados teriam criado lucros artificiais de negociação, pagos pelo cofre público.

Relatórios autorizados estavam no centro da falha

Além disso, a SlowMist apresentou uma avaliação semelhante. Segundo a empresa, um signatário autorizado forneceu dados manipulados com assinaturas válidas. Depois, esses dados entraram em operações repetidas e lucrativas. Ainda assim, essas conclusões seguem pendentes de confirmação oficial no post-mortem da Ostium.

Esse ponto é relevante porque a autenticação criptográfica comprova apenas que uma chave autorizada assinou o relatório. Contudo, ela não garante que o preço faça sentido, que o timestamp seja recente ou que a liquidação seja segura. Em outras palavras, o sistema precisa aplicar verificações adicionais durante a execução.

Conforme o código do OstiumVerifier, citado na documentação de segurança, a função de verificação recupera um signatário ECDSA e checa se ele está autorizado. Porém, essa função não impõe sozinha um teste de plausibilidade de preço nem um limite de timestamp. Além disso, o código público não esclarece qual implementação estava ativa no momento do incidente.

Na prática, qualquer defesa contra timestamp inadequado, replay, desvio de preço ou dependência de fonte única precisaria existir em outro ponto do sistema. Por isso, o caso reacendeu o debate sobre validações secundárias em protocolos de perpétuos on-chain e no mercado cripto.

Origem: imagem publicada com estimativas de perdas atribuídas ao incidente.

Estimativas variam entre US$ 11,86 milhões e US$ 24 milhões

De acordo com a documentação do protocolo, o cofre OLP mantém o colateral dos traders e paga de forma imediata, on-chain, as operações vencedoras. Portanto, se o sistema aceitou lucros artificiais no processo de liquidação, a própria liquidez do cofre financiou esses repasses.

À medida que o rastreamento avançou, as estimativas cresceram. A Blockaid calculou cerca de US$ 18 milhões em pagamentos indevidos. Em seguida, a Cyvers elevou a cifra para US$ 23,7 milhões. Posteriormente, a PeckShield descreveu aproximadamente US$ 24 milhões drenados.

Por outro lado, a menor estimativa veio da SlowMist, com US$ 11,86 milhões. Segundo a empresa, esse valor parece acompanhar uma única saída de 11.862.444,782 USDC visível na transação apontada pela companhia.

Além disso, a PeckShield afirmou que os responsáveis converteram o USDC extraído em 12.080 ETH. Na atualização publicada, 10.540 ETH já haviam chegado ao Tornado Cash. Enquanto isso, Kaledora Kiernan-Linn disse que a Ostium trabalha com autoridades, com o grupo SEAL 911 e com especialistas externos em segurança para responder ao caso.

Falha difere do incidente da Bonzo Lend

A mecânica desse incidente difere do caso que atingiu a Bonzo Lend, protocolo de empréstimos na Hedera, quatro dias antes. Conforme o relatório do incidente, a Bonzo afirmou que seu verificador aceitou uma prova sem assinatura válida. Já no caso da Ostium, as empresas de segurança alegam o oposto: a autenticação teria funcionado, mas os dados aceitos pelo caminho autorizado eram inseguros.

Essa distinção muda o foco da análise. Afinal, não basta verificar a identidade de quem assina um relatório. Também é necessário garantir que o conteúdo não esteja adiantado no tempo, distorcido ou apto a gerar liquidações indevidas. Nesse sentido, o episódio pressiona a Ostium a esclarecer se houve comprometimento de chave, ação maliciosa de operador autorizado ou abuso de outro caminho privilegiado.

A resposta da plataforma deverá mostrar se a Ostium consegue impor isolamento entre signatários, limites rígidos de timestamp, checagens independentes de preço, rate limits e circuit breakers. Até agora, os dados públicos indicam que o incidente durou cinco minutos, afetou diretamente o cofre OLP, envolveu relatórios de oráculo autorizados com data futura, segundo empresas de segurança, e gerou estimativas de perda entre US$ 11,86 milhões e US$ 24 milhões. A Ostium ainda não publicou um relatório definitivo.