Ostium na Arbitrum stracił ~18 mln USDC po manipulacji orakla

Atak został wykryty 15 lipca 2026 r. Platforma perpetualna Ostium, działająca na sieci Arbitrum, utraciła około 11,86–18 mln USDC po tym, jak sprawca przejął prywatny klucz podpisujący raporty orakla i przesłał zafałszowane dane cenowe z datą w przyszłości.

Firma bezpieczeństwa Blockaid poinformowała, że napastnik skorzystał z zarejestrowanego forwardera PriceUpKeep oraz z autoryzowanych raportów orakla datowanych na przyszłość. W efekcie wykonano serię zapętlonych operacji — około 20 transakcji — wykorzystujących prawa delegowane do szybkiego otwierania i zamykania pozycji. Protokołowi naliczono księgowe zyski, co umożliwiło natychmiastowe wypłaty ze skarbca bez rzeczywistej ekspozycji na rynku.

Analiza on-chain wskazuje, że wypłaty z głównego vaulta wyniosły między 11,86 mln a 18 mln USDC. W chwili ataku skumulowana wartość protokołu (TVL) wynosiła około 63 mln USD, więc wyprowadzone środki stanowiły około 28% tej wartości. Główna transakcja związana z atakiem jest dostępna do weryfikacji publicznej na Arbiscan.

Ostium to zdecentralizowana giełda perpetuali skoncentrowana na aktywach świata rzeczywistego, takich jak akcje, surowce, forex i indeksy, zbudowana na Arbitrum. Protokół pozyskał około 27,8 mln USD od inwestorów instytucjonalnych, w tym General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute i GSR, i przeszedł audyty bezpieczeństwa przed uruchomieniem.

Zespół Ostium oraz zewnętrzni specjaliści ds. bezpieczeństwa prowadzą dochodzenie i analizę on-chain. Protokół zachęca użytkowników do śledzenia oficjalnych kanałów komunikacji w celu uzyskania informacji o potencjalnych rekompensatach i dalszych aktualizacjach. Blockaid wskazał, że szczegóły techniczne i dalsze raporty na temat przepływu środków będą kluczowe do ustalenia pełnego przebiegu zdarzeń.