تم اختراق Ostium، وخُسِر خزان LP بمبلغ 23.75 مليون USDC.
الأسلوب كان نظيفًا للغاية: لم يَقم المهاجمون مباشرةً بالضغط على العقد الذكي، بل اخترقوا البنية التحتية لبيانات أسعار ما قبل السلسلة (off-chain)، وقدّموا للنظام أسعارًا وهمية مزيفة على أنها أسعار صحيحة، ثم سحبوا الأرباح عبر عمليات فتح وإغلاق سريعة للمراكز.
الخلاصة في سطر واحد: ليست أخطاء في الكود، بل تم خداع مصدر السعر.
وهذا أكثر جدارة بالتحذير من ثغرة في العقد وحدها. كثير من بروتوكولات DeFi الدائمة (perpetual)، أكثر نقاطها هشاشة ليست على السلسلة (on-chain)، بل في تغذية السعر من خارج السلسلة. حتى لو كان العقد قويًا، إذا كانت التغذية ضعيفة فسيتم تفريغ البروتوكول.
الخبر الجيد: إن الضمانات التي يضعها المتداولون موجودة ضمن عقود مستقلة، ولم تتأثر حتى الآن. الخبر السيئ: أموال LP قد خرجت بالفعل.
والإلهام للناس العاديين عملي جدًا:
1. الـ LP بعائد مرتفع ليس «وجبة غداء مجانية»، ففي كثير من الأحيان ما تربحه هو علاوة مقابل مخاطر الهجوم
2. افحص البروتوكول: لا تَكتفِ بمشاهدة APY، بل انظر أيضًا إلى مصدر السعر والـ oracles والمكوّنات خارج السلسلة
3. تصميم العزل بين الأموال أمر بالغ الأهمية—في هذه المرة لم تتأثر مراكز المستخدمين لأن العزل كان موجودًا
قد يمكن إيقاف التداول، لكن إذا لم تعد الأموال فلن يكون الأمر سهلًا.
في المرة القادمة التي تختار فيها بروتوكول DeFi، هل ستُولي اهتمامًا أكبر لـ APY، أم للمُعرِّفات (oracles) وعزل الأموال؟
#Ostium #DeFi攻击 #USDC #预言机 #安全
الأسلوب كان نظيفًا للغاية: لم يَقم المهاجمون مباشرةً بالضغط على العقد الذكي، بل اخترقوا البنية التحتية لبيانات أسعار ما قبل السلسلة (off-chain)، وقدّموا للنظام أسعارًا وهمية مزيفة على أنها أسعار صحيحة، ثم سحبوا الأرباح عبر عمليات فتح وإغلاق سريعة للمراكز.
الخلاصة في سطر واحد: ليست أخطاء في الكود، بل تم خداع مصدر السعر.
وهذا أكثر جدارة بالتحذير من ثغرة في العقد وحدها. كثير من بروتوكولات DeFi الدائمة (perpetual)، أكثر نقاطها هشاشة ليست على السلسلة (on-chain)، بل في تغذية السعر من خارج السلسلة. حتى لو كان العقد قويًا، إذا كانت التغذية ضعيفة فسيتم تفريغ البروتوكول.
الخبر الجيد: إن الضمانات التي يضعها المتداولون موجودة ضمن عقود مستقلة، ولم تتأثر حتى الآن. الخبر السيئ: أموال LP قد خرجت بالفعل.
والإلهام للناس العاديين عملي جدًا:
1. الـ LP بعائد مرتفع ليس «وجبة غداء مجانية»، ففي كثير من الأحيان ما تربحه هو علاوة مقابل مخاطر الهجوم
2. افحص البروتوكول: لا تَكتفِ بمشاهدة APY، بل انظر أيضًا إلى مصدر السعر والـ oracles والمكوّنات خارج السلسلة
3. تصميم العزل بين الأموال أمر بالغ الأهمية—في هذه المرة لم تتأثر مراكز المستخدمين لأن العزل كان موجودًا
قد يمكن إيقاف التداول، لكن إذا لم تعد الأموال فلن يكون الأمر سهلًا.
في المرة القادمة التي تختار فيها بروتوكول DeFi، هل ستُولي اهتمامًا أكبر لـ APY، أم للمُعرِّفات (oracles) وعزل الأموال؟
#Ostium #DeFi攻击 #USDC #预言机 #安全