Ostium na Arbitru zastavilo obchodování. Útočník zneužil klíč oracle signer a vybral 18 milionů dolarů

Útočník získal přístup k soukromému klíči oracle signer, což je privilegované oprávnění používané k autorizaci cenových dat vkládaných do protokolu . Tento kompromitovaný klíč mu umožnil manipulovat s cenovým feedem a z protokolu v reálných USDC odčerpat prostředky. Následuje podrobný rozpis události, výše škody a kontext, proč je tento incident učebnicovým příkladem převládajícího útoku v DeFi v roce 2026.

Jak exploit probíhal – krok za krokem

Bezpečnostní firma Blockaid jako první odhalila exploit na blockchainu a zaznamenala, že útočník začal krátce po útoku směňovat ukradené USDC za ETH přes protokol Kyber . Průběh útoku lze rozdělit do tří fází:

1. Kompromitace klíče: Útočník získal soukromý klíč registrovaného oracle signer – oprávnění, které protokolu umožňuje schvalovat předkládaná cenová data .
2. Manipulace s cenami: S použitím kompromitovaného klíče útočník prostřednictvím registrovaného PriceUpkeep forwarder kontraktu na síti Gelato odeslal do protokolu falešné cenové zprávy, které se vztahovaly k budoucím datům a byly výhodné pro jeho pozice .
3. Extrakce zisku: Útočník provedl přibližně 20 zacyklených delegovaných obchodů, kdy pomocí zfalšovaných cen otevíral a zavíral pozice. Tento proces generoval fiktivní obchodní zisky, které protokol vyplatil z OLP vaultu ve formě reálných USDC .

Odhadované ztráty se v různých zdrojích pohybují od 12 do 22 milionů dolarů, přičemž většina zpráv uvádí částku kolem 18 milionů USDC . Blockaid hovoří zhruba o 18 milionech, CertiK o 22 milionech; obě firmy se shodují, že příčinou byl kompromitovaný oracle systém .

Kolik procent z celkové hodnoty (TVL) bylo ztraceno?

Procento ztráty se liší podle toho, který základní údaj vezmeme v úvahu:

• ~35 % z protokolového trezoru/vaultu o velikosti cca 34 milionů USD
• ~35 % z OLP likviditního vaultu (~34 milionů USD)
• ~28 % z celkové hodnoty v protokolu (TVL, ~63 milionů USD)
• Incident je obecně popisován jako ztráta „zhruba jedné třetiny likvidity“

Nejčastěji uváděným údajem je přibližně 35 % protokolového trezoru .

Investoři a financování Ostia

Ostium získalo přibližně 27,8 milionu dolarů od investorů, mezi nimiž byli General Catalyst a Jump Crypto . Ačkoliv protokol prošel i dřívějšími koly financování, v souvislosti s tímto exploiem jsou zmiňovány právě tyto dvě institucionální firmy .

Proč je tento exploit typický pro rok 2026

Exploit Ostia není novou zranitelností smart kontraktů – je to krádež soukromého klíče (přihlašovacích údajů), která byla zneužita k manipulaci s důvěryhodným mechanismem cenového feedu. Tento typ útoku přesně zapadá do dominantního vzorce napadení v roce 2026:

• 72 % všech ztrát v DeFi v roce 2026 pochází z ukradených klíčů a krádeží přihlašovacích údajů, nikoliv z chyb v kódu smart kontraktů .
• Infrastrukturní a operativní kompromitace (krádeže klíčů, narušení přístupových práv) tvořily jen asi 15 % incidentů, ale způsobily zhruba 76 % celkových dolarových ztrát – což je výrazně více než dopad tradičních exploitů .
• V první polovině roku 2026 bylo zaznamenáno 207 hackerských incidentů – nejvyšší počet za posledních šest měsíců – s celkovou ztrátou přibližně 972 milionů dolarů .
• Duben byl nejhorším měsícem, a to především kvůli dvěma útokům spojovaným se Severní Koreou: KelpDAO (293 milionů dolarů) a Drift Protocol (280 milionů dolarů) . Jen tyto dvě krádeže tvořily přes tři čtvrtiny ztrát za druhé čtvrtletí .

Podle platformy DeFiLlama ztratily blockchainové projekty v důsledku hackingů a exploitů celkem přibližně 16,69 miliardy dolarů, přičemž asi 40 % těchto ztrát bylo způsobeno kompromitací soukromých klíčů . Kumulativně bylo za posledních deset let ukradeno více než 17 miliard dolarů při 518 zaznamenaných incidentech se soukromými klíči .

Závěr: Exploit Ostia je učebnicovým případem posunu útočníků od zneužívání kódu ke krádežím klíčů, kdy malý počet událostí s kompromitovanými klíči způsobuje neúměrně velký podíl celkových ztrát . Pro DeFi protokoly už dávno nestačí auditovat smart kontrakty – zabezpečení klíčů oracle signerů a dalších privilegovaných přihlašovacích údajů se stalo novou frontovou linií.