Peretas Curi US$23,75 Juta dari Ostium Lewat Serangan Off-Chain
Platform trading terdesentralisasi Ostium mengungkap bahwa seorang penyerang berhasil mencuri sekitar 23,75 juta dolar AS dari liquidity provider vault setelah membobol infrastruktur off-chain yang digunakan untuk memasok data harga ke protokol.
Serangan ini tidak langsung mengeksploitasi kontrak jaminan milik trader. Menurut penjelasan Ostium, collateral trader berada di kontrak terpisah dan tidak terdampak, sementara posisi yang masih terbuka tetap tercatat.
Ostium merupakan platform decentralized trading yang berjalan di atas Arbitrum, jaringan scaling untuk ekosistem Ethereum. Platform ini memungkinkan pengguna berspekulasi pada harga aset tradisional maupun aset kripto langsung dari wallet kripto, dengan penyelesaian transaksi menggunakan USDC.
Dalam insiden tersebut, penyerang disebut mengirim laporan harga tidak sah yang disamarkan sebagai data valid. Data harga palsu itu kemudian dimanfaatkan untuk membuka dan menutup posisi besar secara cepat, sehingga menghasilkan profit buatan dari liquidity provider vault.
Ostium pertama kali memberi tahu komunitas pada 16 Juli 2026 bahwa aktivitas trading harus dihentikan karena insiden keamanan. Perusahaan saat itu menyebut pihak berwenang telah diberi tahu dan pergerakan dana curian sedang dilacak.
Pembaruan berikutnya menjelaskan bahwa serangan terjadi pada infrastruktur off-chain yang memasok harga ke Ostium. Dengan memanipulasi data tersebut, pelaku dapat mengambil keuntungan dari vault penyedia likuiditas tanpa mencuri collateral trader biasa.
Menurut pelacakan perusahaan keamanan blockchain PeckShieldAlert, pelaku menukar USDC curian menjadi 12.080 Ethereum. Dari jumlah tersebut, 10.540 Ethereum kemudian disetor ke Tornado Cash, layanan mixer kripto yang kerap digunakan untuk mengaburkan jejak dana.
Ostium menegaskan bahwa jumlah trading untuk posisi leverage disimpan pada smart contract terpisah dan tidak terdampak oleh insiden ini. Long dan short position yang sudah ada tidak ditutup maupun dilikuidasi.
Meski demikian, posisi tersebut saat ini praktis dalam kondisi beku karena seluruh aktivitas trading di platform dihentikan dalam waktu sekitar 60 menit sejak transaksi eksploit pertama terjadi.
Perusahaan kini bekerja untuk mengamankan infrastruktur yang terdampak dan menentukan langkah pemulihan bagi liquidity provider. Ostium juga menyatakan akan memberikan pemberitahuan minimal 24 jam sebelum trading kembali dibuka.
Saat operasi dilanjutkan, posisi yang masih terbuka akan ditandai menggunakan harga saat pembukaan kembali. Ostium juga berjanji merilis post-mortem berisi detail teknis dalam beberapa hari ke depan.
Kasus ini menunjukkan bahwa risiko pada protokol kripto tidak selalu berasal dari smart contract inti. Infrastruktur off-chain seperti price feed, oracle pipeline, dan sistem pelaporan harga juga dapat menjadi titik kritis yang berdampak langsung pada dana penyedia likuiditas.
Bagi pengguna, pemisahan kontrak collateral trader dan liquidity provider vault menjadi faktor penting dalam membatasi dampak. Namun bagi operator protokol, insiden ini menegaskan pentingnya validasi data harga, kontrol akses infrastruktur off-chain, serta mekanisme pemantauan transaksi abnormal secara real-time.
Sumber: Ostium
