Zwei Oracle-Exploits in einer Woche: Was der BLC-Absturz um 99 % und der Ostium-Hack um 18 Mio. US-Dollar über die DeFi-Sicherheit im Jahr 2026 verraten

Warum es funktionierte: Die Architektur des Protokolls umfasste zwei Module – Spotter, das den Sicherheitenpreis aufzeichnet, und Dog, das für Liquidationen zuständig ist. Der Angreifer nutzte die Poke-Funktion des Spotter-Vertrags, um einen künstlich niedrigen BTCB-Preis in die Buchhaltung des Systems zu drücken. Der Kreditvertrag akzeptierte diesen Preis, ohne ihn auf eine plausible Spanne zu prüfen und ohne jegliche Liquidationsverzögerung. Dies erlaubte es dem Angreifer, in einer einzigen Transaktion mehrere Vaults zu liquidieren und die Sicherheiten zu beschlagnahmen .

Der Ostium-Exploit von 18 Millionen US-Dollar auf Arbitrum

Was geschah: Am 15. Juli 2026 wurde Ostium, eine dezentrale Perpetuals-Börse auf Arbitrum, Opfer eines Oracle-Angriffs, bei dem etwa 18 Millionen US-Dollar in USDC aus dem OLP-Liquiditäts-Vault abflossen . Die Sicherheitsfirma Blockaid entdeckte den Exploit weniger als 40 Minuten nach der ersten bösartigen Transaktion .

Warum es funktionierte: Der Angreifer kompromittierte einen Oracle-Signer-Key – einen privaten Schlüssel, der zur Autorisierung von Preisdaten für das Protokoll berechtigt ist – und missbrauchte einen registrierten PriceUpKeep-Forwarder (eine Komponente von Ostiums automatisierter Preis-Feed-Infrastruktur). Damit wurden manipulierte Preisberichte mit zukünftigen Zeitstempeln eingereicht. Diese manipulierten Berichte erweckten den Anschein profitabler Trades, was eine Auszahlung von 18 Millionen USDC aus dem Vault auslöste .

Nuancen bei den Schadenszahlen: Während Blockaid und die meisten großen Nachrichtenportale von etwa 18 Millionen US-Dollar berichten, lieferten andere Sicherheitsfirmen abweichende Schätzungen. Phalcon bezifferte den Verlust auf bis zu rund 24 Millionen US-Dollar, andere Quellen nennen eine Spanne von 12 bis 22 Millionen US-Dollar . Ostium selbst pausierte den Handel und bestätigte zunächst keine endgültige Verlustsumme .

Direkter Vergleich

Wesentlicher Unterschied: Der BLC-Crash war ein kaskadierendes Liquidationsereignis, ausgelöst durch einen einzigen manipulierten Preis. Ostium war eine direkte Plünderung des Vaults durch gefälschte Handelsgewinne, die durch einen kompromittierten Oracle-Signer-Key ermöglicht wurden.

Fünf übergeordnete DeFi-Oracle-Schwachstellen, die diese Vorfälle aufdecken

1. Oracle-Architektur mit einem einzigen Fehlerpunkt

Beide Protokolle verließen sich auf Oracle-Preis-Feeds, die durch einen einzigen kompromittierten Schlüssel (Ostium) oder eine einzige Preis-Injektionsfunktion (42DAO) manipuliert werden konnten. Das OWASP Smart Contract Top 10 für 2026 führt die Preis-Oracle-Manipulation als SC03 auf und definiert sie als „jede Situation, in der ein Smart Contract auf Preisdaten angewiesen ist, die direkt oder indirekt von einem Angreifer beeinflusst werden können“ . Wenn ein Protokoll seine Oracle-Daten nicht validiert oder mit anderen Quellen abgleicht, wird jeder Preis-Feed zu einem Single Point of Failure.

2. Automatisierte Liquidationskaskaden

Der BLC-Vorfall zeigt, dass ein einziger manipulierter Preis eine Todespirale auslösen kann, wenn ein Protokoll Oracle-Preise ohne angemessene Prüfungen oder Verzögerungen für Liquidationen verwendet. Der Angreifer konnte Vaults liquidieren, die niemals hätten liquidiert werden dürfen, weil das Protokoll den falschen Preis sofort und ohne jede Bereichsvalidierung akzeptierte .

3. Schwächen im Schlüsselmanagement und der Zugriffskontrolle

Ostiums Exploit war möglich, weil ein Oracle-Signer-Key kompromittiert wurde, was dem Angreifer erlaubte, als autorisierter Preisberichterstatter zu agieren . Zu den Sicherheitsbest Practices gehören regelmäßige Schlüsselrotationen, Multi-Sig-Anforderungen für kritische Operationen und die kontinuierliche Überwachung autorisierter Signierer – nichts davon scheint bei Ostium implementiert gewesen zu sein .

4. Flash-Loan-Verstärkung (das übergreifende Muster)

Obwohl keiner der beiden Vorfälle ausschließlich ein Flash-Loan-Angriff war, zeigen OWASP-Daten, dass 78 % der Oracle-Manipulationsvorfälle im Jahr 2026 Flash Loans als Angriffsinfrastruktur nutzen . Die Komponierbarkeit von DeFi ermöglicht es Angreifern, enorme Summen innerhalb einer einzigen Transaktion zu leihen, einen Preis zu manipulieren, das Protokoll auszubeuten und den Kredit zurückzuzahlen – bevor irgendjemand eingreifen kann.

5. Unterlassene Nutzung von TWAP- und Multi-Quellen-Oraclen

Beide Protokolle scheinen einfach zu manipulierende Einzelquellen-Preis-Feeds verwendet zu haben. Sicherheitsrichtlinien empfehlen durchgängig zeitgewichtete Durchschnittspreise (TWAP) – z. B. von Uniswap V3 mit 10+ Minuten Fenstern – und den Abgleich mehrerer unabhängiger Preisquellen . Der OWASP-Bericht stellt fest, dass Protokolle, die TWAP-Oracle mit ausreichenden Fenstern verwenden, 82 % der Single-Transaction-Preis-Manipulationsangriffe eliminieren .

Die Kernbotschaft

Die Exploits von BLC und Ostium sind keine Anomalien; sie sind Lehrbuchbeispiele für die derzeit hartnäckigste Schwachstelle in DeFi. Oracle-Manipulationsangriffe sind reine Smart-Contract-Schwachstellen, die keinen Insider-Zugriff und keine Zero-Days erfordern – lediglich ein Protokoll, das einer einzigen Preisquelle ohne Sicherheitsvorkehrungen vertraut . Während DeFi-Protokolle weiterhin an Komplexität und Total Value Locked zunehmen, sind die Sicherheitslektionen aus dem Juli 2026 klar: Validiere jeden Preis-Feed, verwende Multi-Quellen-Oracle, implementiere Liquidationsverzögerungen und lasse niemals zu, dass ein einzelner Schlüssel oder eine einzelne Funktion der alleinige Gatekeeper für Benutzergelder ist.