Dos ataques por oracle en siete días: el colapso de BLC y el drenaje de Ostium exponen las vulnerabilidades más profundas de DeFi

Las firmas de seguridad blockchain PeckShield y SlowMist confirmaron el ataque. SlowMist rastreó la causa raíz hasta la manipulación del precio del oráculo de BTCB . El drenaje directo fue de aproximadamente 912.000 a 915.000 dólares, pero el daño colateral fue mucho mayor: la capitalización de mercado de BLC pasó de unos 3,5 millones de dólares a aproximadamente 12.000, y el precio del token se estabilizó cerca de los 0,001357 dólares .

¿Por qué funcionó? La arquitectura del protocolo incluía dos módulos: Spotter, que registra el precio de la garantía, y Dog, que gestiona las liquidaciones. El atacante usó la función poke del contrato Spotter para introducir un precio de BTCB artificialmente bajo en la contabilidad del sistema. El contrato de préstamo aceptó ese precio sin verificarlo contra un rango preciso y sin ningún retraso en la liquidación, lo que permitió al atacante liquidar varias bóvedas y apoderarse de la garantía en una sola transacción .

El exploit de 18 millones de dólares en Ostium sobre Arbitrum

¿Qué ocurrió? El 15 de julio de 2026, Ostium —un exchange descentralizado de perpetuos en Arbitrum— sufrió un ataque a su oráculo que drenó aproximadamente 18 millones de dólares en USDC de su bóveda de liquidez OLP . La firma de seguridad Blockaid detectó el exploit menos de 40 minutos después de la primera transacción maliciosa .

¿Por qué funcionó? El atacante comprometió una clave de firmante del oráculo —una clave privada autorizada para enviar datos de precio al protocolo— y abusó de un PriceUpKeep forwarder registrado (un componente de la infraestructura automatizada de suministro de precios de Ostium) para enviar informes de precio falsificados con marcas de tiempo futuras. Los informes manipulados hicieron parecer que el atacante había ejecutado operaciones rentables, lo que provocó un pago de 18 millones de dólares en USDC desde la bóveda .

Matiz sobre la cifra de pérdidas: Mientras Blockaid y la mayoría de los medios importantes reportan aproximadamente 18 millones de dólares, otras firmas de seguridad ofrecen estimaciones diferentes. Phalcon estimó pérdidas de hasta unos 24 millones de dólares, y algunos informes citan un rango de entre 12 y 22 millones . El propio Ostium pausó las operaciones y no confirmó de inmediato un total final de pérdidas .

Comparación lado a lado

Distinción clave: El colapso de BLC fue un evento de liquidación en cascada desencadenado por un solo precio manipulado. Ostium fue un drenaje directo de la bóveda mediante ganancias de trading falsificadas, habilitado por una clave de firma de oráculo comprometida.

Cinco vulnerabilidades generales de los oráculos DeFi que estos incidentes ponen de relieve

1. Arquitectura de oráculo de punto único de fallo

Ambos protocolos dependían de fuentes de precios que podían ser manipuladas a través de una única clave comprometida (Ostium) o una sola función de inyección de precio (42DAO). El OWASP Smart Contract Top 10 para 2026 clasifica la Manipulación de Oráculos de Precio como SC03, definiéndola como "cualquier situación en la que un contrato inteligente depende de datos de precio que pueden ser influenciados directa o indirectamente por un atacante" . Cuando un protocolo no valida ni contrasta sus datos de oráculo, cada fuente de precio se convierte en un punto único de fallo.

2. Cascadas de liquidación automatizadas

El incidente de BLC demuestra que cuando un protocolo utiliza precios de oráculo para desencadenar liquidaciones sin las comprobaciones o demoras adecuadas, un solo precio manipulado puede provocar una espiral mortal. El atacante pudo liquidar bóvedas que nunca debieron ser liquidadas porque el protocolo aceptó el precio falso al instante y sin ninguna validación de rango .

3. Debilidades en la gestión de claves y control de acceso

El exploit de Ostium fue posible porque una clave de firmante del oráculo se vio comprometida, lo que permitió al atacante actuar como un reportero de precios autorizado . Las mejores prácticas de seguridad requieren rotación periódica de claves, requisitos de multi-firma para operaciones críticas y monitoreo continuo de los firmantes autorizados — nada de lo cual parece haber estado implementado en Ostium .

4. Amplificación mediante flash loans (el patrón general)

Aunque ninguno de estos incidentes fue exclusivamente un ataque de flash loan, los datos de OWASP muestran que el 78% de los incidentes de manipulación de oráculos en 2026 involucran flash loans como infraestructura de ataque . La naturaleza componible de DeFi permite a los atacantes pedir prestadas sumas enormes dentro de una sola transacción, manipular un precio, explotar el protocolo y devolver el préstamo antes de que nadie pueda intervenir.

5. Infrautilización de oráculos TWAP y multi-fuente

Ambos protocolos parecen haber utilizado fuentes de precio únicas o fácilmente manipulables. Las guías de seguridad recomiendan consistentemente el uso de oráculos de Precio Promedio Ponderado en el Tiempo (TWAP), por ejemplo, de Uniswap V3 con ventanas de 10 minutos o más, y la contrastación con múltiples fuentes de precio independientes . El informe de OWASP señala que los protocolos que utilizan oráculos TWAP con ventanas adecuadas eliminan el 82% de los ataques de manipulación de precio en una sola transacción .

La conclusión

Los exploits de BLC y Ostium no son anomalías; son ejemplos de libro de texto de la vulnerabilidad más persistente en DeFi hoy en día. Los ataques de manipulación de oráculos son vulnerabilidades de contratos inteligentes puras que no requieren acceso interno ni exploits de día cero — solo un protocolo que confía en una única fuente de precio sin salvaguardas . A medida que los protocolos DeFi continúan creciendo en complejidad y valor total bloqueado, las lecciones de seguridad de julio de 2026 son claras: validar cada fuente de precio, utilizar oráculos multi-fuente, implementar demoras en las liquidaciones y nunca permitir que una sola clave o una sola función sea el único guardián de los fondos de los usuarios.