Ostium : le trading suspendu après un exploit à 18 millions de dollars sur son vault

Ce qu’il faut retenir :

• Ostium a suspendu tout le trading après le vol d’environ 18 millions de dollars en USDC dans son vault OLP sur Arbitrum.
• L’attaquant a utilisé des rapports d’oracle antidatés pour générer des profits fictifs, selon la société de sécurité Blockaid.
• Les fonds volés sont convertis en ETH et dispersés, quelques semaines après le partenariat d’Ostium avec le Nasdaq.

Ostium, l’exchange de contrats perpétuels on-chain, a suspendu tout le trading ce mercredi après le pillage de son vault sur Arbitrum. La société de sécurité blockchain Blockaid a donné l’alerte : un attaquant a vidé environ 18 millions de dollars en USDC du vault OLP, la réserve de liquidité qui sert de contrepartie aux positions des traders. “Nous avons suspendu tout le trading. L’équipe enquête”, a réagi Ostium sur X.

Comment l’attaquant a-t-il vidé le vault d’Ostium ?

D’après les premières analyses de Blockaid, l’assaillant s’est appuyé sur un forwarder PriceUpKeep enregistré auprès du protocole et sur des rapports d’oracle autorisés mais datés dans le futur. Cette manipulation des prix lui a permis de fabriquer des profits de trading artificiels, puis de déclencher un paiement d’environ 18 millions de dollars en USDC depuis le vault. En clair, le voleur n’a pas cassé la porte : il a fait mentir le thermomètre des prix pour que le protocole lui verse lui-même les fonds.

Le blanchiment a déjà commencé. D’après les données on-chain d’Arkham Intelligence, l’attaquant convertit des portions du butin en Ethereum (ETH) via Kyber Network, avant de disperser les ethers sur de multiples wallets. Une technique classique pour brouiller les pistes avant un passage par des mixeurs ou des ponts cross-chain.

Un coup dur après le partenariat avec le Nasdaq

Le timing fait mal. L’exploit survient quelques semaines seulement après l’annonce d’un partenariat entre Ostium et le Nasdaq, qui doit alimenter en données de marché ses contrats perpétuels sur actions. La plateforme revendiquait alors plus de 50 milliards de dollars de volume de trading cumulé.

Fondé par deux anciens de Harvard, Kaledora Kiernan-Linn et Marco Antonio Ribeiro, Ostium a levé 27,8 millions de dollars à ce jour, dont une série A de 20 millions co-menée par General Catalyst et Jump Crypto. LocalGlobe, Susquehanna et Alliance DAO figurent aussi au capital. Un pedigree qui n’a pas suffi à protéger le protocole d’une faille dans sa chaîne d’approvisionnement en prix, le talon d’Achille récurrent des plateformes de dérivés on-chain.

Ce qu’il faut surveiller

Les prochaines heures diront si Ostium parvient à geler une partie des fonds avant leur dispersion complète, avec l’aide des analystes on-chain qui traquent les wallets de l’attaquant. Restent trois questions ouvertes : le protocole publiera-t-il un post-mortem détaillant la faille de son système d’oracles, les déposants du vault OLP seront-ils indemnisés, et dans quelles conditions le trading pourra-t-il reprendre ? La réponse pèsera aussi sur le partenariat avec le Nasdaq, qui mise sur la fiabilité de l’infrastructure d’Ostium pour ses perpétuels sur actions.