Własny feed cenowy Ostium stał się bronią w hacku na 18 milionów dolarów

Ostium straciło 18 milionów dolarów z jego skarbca na Arbitrum

15 lipca 2026 roku napastnik wyciągnął około 18 milionów dolarów w USDC z płynnościowego skarbca Ostium, zdecentralizowanej giełdy perpetuali na Arbitrum. Firma zabezpieczeń blockchain Blockaid zgłosiła incydent tego samego dnia. Kontrakty perpetualne pozwalają traderom obstawiać cenę aktywów bez daty wygaśnięcia, a Ostium rozlicza te transakcje w USDC, stablecoinie powiązanym z dolarem. Skarbiec przechowuje fundusze, które dostarczają dostawcy płynności, aby zabezpieczyć każdą transakcję. Dane on-chain oszacowały stratę na blisko 28% całkowitej wartości skarbca wynoszącej około 63 milionów dolarów (TVL).

Napastnik dostarczył systemowi cenowemu dane z datą przyszłą

Ostium prowadzi własny system feedu cenowego do wyceny aktywów on-chain. Gelato, zewnętrzna sieć automatyzacji, publikuje ceny aktywów w ustalonych interwałach, podczas gdy komponent zwany PriceUpKeep forwarder przesyła aktualizacje oracle, gdy transakcje są realizowane. Napastnik wykorzystał zarejestrowany PriceUpKeep forwarder do przesyłania raportów z przyszłymi znacznikami czasowymi. Te fałszywe ceny sprawiły, że nieopłacalne transakcje wyglądały na zyskowne i wywołały wypłatę ze skarbca. Według crypto.news, skompromitowany klucz sygnujący oracle pozwolił napastnikowi ominąć weryfikację protokołu. Napastnik otworzył i zamknął pozycje w pętli, wyciągając wartość bez podejmowania rzeczywistego ryzyka rynkowego.

"Napastnik wykorzystał zarejestrowany PriceUpKeep forwarder i autoryzowane raporty oracle z datą przyszłą, aby stworzyć sztuczny zysk z transakcji, wywołując wypłatę z skarbca w wysokości około 18 milionów dolarów USDC.", 15 lipca 2026 roku. — Blockaid, firma zabezpieczeń blockchain

Ostium wstrzymało handel po opróżnieniu skarbca

Ostium wstrzymało wszystkie transakcje, gdy exploit się ujawnił. Dostawcy płynności, którzy dostarczają kapitał do skarbca, ponoszą bezpośrednią stratę z powodu opróżnionych funduszy. Według CryptoBriefing, napastnik zamienił część skradzionego USDC na Ether (ETH) za pośrednictwem sieci Kyber, a następnie rozprzestrzenił dochody na kilka portfeli. Ten ruch komplikuje wszelkie próby śledzenia lub odzyskiwania funduszy. Zespół jeszcze nie ogłosił planu spłaty dotkniętym dostawcom płynności, a strata w wysokości 18 milionów dolarów stanowi dużą część finansowania protokołu.

Protokół zebrał 27,8 miliona dolarów przed hackiem

Ostium zebrało 27,8 miliona dolarów w całkowitym finansowaniu, w tym 24 miliony dolarów w serii A, współprowadzonej przez General Catalyst i Jump Crypto pod koniec 2025 roku. Giełda pozwala użytkownikom handlować aktywami rzeczywistymi, takimi jak złoto, waluty i indeksy akcji, z dźwignią do 200x, wszystko rozliczane w USDC. Przed atakiem przetworzyła ponad 50 miliardów dolarów w skumulowanej wartości transakcji. Według CryptoBriefing, Ostium nawiązało również współpracę z Nasdaq w zakresie danych dotyczących akcji. Ta umowa umiejscowiła ją jako most między tradycyjnymi rynkami a DeFi.

ARB handlowany blisko dziewięciu centów w momencie publikacji

ARB, token sieci Arbitrum, handlowany był po 0,0889 USD w momencie publikacji, wzrastając o 1,33% w ciągu ostatnich 24 godzin (CoinPaprika, 17 lipca 2026 roku). Wartość rynkowa ARB wynosiła blisko 566 milionów dolarów przy tej cenie (CoinPaprika, 17 lipca 2026 roku). Exploit dotknął aplikacji zbudowanej na Arbitrum, a nie samej sieci bazowej, więc nie wpłynął na operacje łańcucha.

Eksploity oracle wciąż atakują protokoły DeFi

Hack Ostium następuje po serii ataków oracle i keeperów w zdecentralizowanej finansach (DeFi). Tydzień wcześniej, Summer.fi straciło około 6 milionów dolarów w wyniku podobnego exploitu. Blockaid stwierdził, że te ataki celują w zautomatyzowane systemy cenowe, które polegają na raportach z datą przyszłą lub uprzywilejowanych rolach. Giełdy perpetualne polegają na dokładnych, terminowych feedach cenowych, co czyni te feedy powtarzającym się celem.