Ostiumin Oracle-exploitti tyhjensi 18 miljoonaa dollaria Arbitrumin RWA-velkakirjapörssistä

Miten 18 miljoonan dollarin exploit toimi?

Lohkoketjun turvallisuusyritys Blockaid havaitsi exploitin ketjussa ensimmäisenä ja totesi hyökkääjän alkaneen vaihtaa varastettua USDC:ta ETH:hen Kyberin kautta pian hyökkäyksen jälkeen . Hyökkäys eteni kolmessa vaiheessa:

1. Avaimen kompromissointi: Hyökkääjä sai haltuunsa rekisteröidyn oracle-allekirjoittajan yksityisavaimen – tunnistetiedon, joka on valtuutettu lähettämään hintatietoja protokollalle .
2. Hintamanipulointi: Hyökkääjä lähetti kompromisoidun avaimen avulla tulevaisuuteen päivätyt, suotuisat hintaraportit rekisteröidyn PriceUpkeep-forwarderi -sopimuksen kautta Gelato-verkossa .
3. Voittojen nosto: Hyökkääjä suoritti noin 20 silmukoitua delegoitua kauppaa, avaten ja sulkien positioita valmistetuilla hinnoilla tuottaakseen fiktiivisiä kaupankäyntivoittoja . Protokollan varasto maksoi nämä haamuvoitot oikeana USDC:na .

Tappioarviot lähteiden välillä vaihtelevat 12 miljoonasta 22 miljoonaan dollariin, ja useimmat raportit asettavat luvun noin 18 miljoonaan dollariin . Blockaid arvioi tappioiksi noin 18 miljoonaa dollaria, kun taas CertiK asetti luvun noin 22 miljoonaan dollariin; molemmat yritykset katsoivat tapahtuman johtuvan Ostiumin oracle-järjestelmän kompromisoinnista .

Kuinka suuri osa TVL:stä menetettiin?

Prosenttiosuus riippuu käytetystä vertailuarvosta, ja lähteet antavat eri lukuja:

• Noin 35 % protokollan noin 34 miljoonan dollarin kassasta/varastosta
• Noin 35 % OLP-likviditeettivarastosta (noin 34 miljoonaa dollaria)
• Noin 28 % kokonais-TVL:stä (noin 63 miljoonaa dollaria)
• Yleisesti kuvataan "noin kolmannekseksi sen likviditeetistä"

Useimmin siteerattu luku on noin 35 % protokollan yli 34 miljoonan dollarin kassasta/varastosta .

Ostiumin taustatuki ja rahoitus

Ostium keräsi noin 27,8 miljoonaa dollaria sijoittajilta, mukaan lukien General Catalyst ja Jump Crypto . Muita aikaisempia rahoituskierroksia on raportoitu, mutta General Catalyst ja Jump Crypto ovat kaksi nimettyä institutionaalista sijoittajaa tämän exploitin yhteydessä .

Miten tämä sopii vuoden 2026 DeFi-avainvarkaustrendiin?

Ostiumin exploit ei ole uusi älysopimushaavoittuvuus – se on yksityisavaimen tunnistetietovarkaus, jota käytettiin luotetun hintatietomekanismin manipuloimiseen. Tämä asettaa sen suoraan vuoden 2026 hallitsevaan hyökkäyskuvioon:

• 72 % kaikista DeFi-tappioista vuonna 2026 tuli varastetuista avaimista ja tunnistetietovarkauksista, ei älysopimusvioista .
• Infrastruktuuri- ja operatiiviset kompromissit (avainvarkaudet, pääsynhallintarikkomukset) olivat vain noin 15 % tapauksista, mutta noin 76 % kokonaisdollaritappioista – ylittäen selvästi perinteisten koodiexploitien vaikutuksen .
• Vuoden 2026 ensimmäinen puolisko kirjasi 207 hakkerointitapausta – korkein kuuden kuukauden määrä koskaan – ja kokonaistappiot olivat noin 972 miljoonaa dollaria .
• Huhtikuu oli pahin kuukausi, jota hallitsivat kaksi Pohjois-Koreaan yhdistettyä avainkompromissia: KelpDAO (293 miljoonaa dollaria) ja Drift Protocol (280 miljoonaa dollaria) . Nämä kaksi varkautta yksinään muodostivat yli kolme neljäsosaa toisen vuosineljänneksen tappioista .

DeFiLlama-tietojen mukaan lohkoketjuprojektit ovat menettäneet yhteensä noin 16,69 miljardia dollaria hakkerointien ja exploitien kautta ajan mittaan, ja noin 40 % näistä tappioista on johtunut yksityisavainten kompromissoinneista . Kumulatiivisesti yli 17 miljardia dollaria on varastettu 518 kirjatussa yksityisavaintapauksessa kymmenen vuoden aikana .

Pohjaviiva: Ostiumin exploit oli oppikirjaesimerkki siitä, kuinka hyökkääjät siirtyvät koodin hyväksikäytöstä avainten varastamiseen, missä pieni määrä avainkompromissitapahtumia aiheuttaa suhteettoman suuren osuuden kokonaistappioista . DeFi-protokollille älysopimusten auditointi ei enää riitä – oracle-allekirjoittaja-avainten ja muiden etuoikeutettujen tunnistetietojen suojaamisesta on tullut uusi etulinja.