Exploit Ostium : une clé de signataire d'oracle volée a siphonné 18 millions $ sur Arbitrum

Comment l'exploit de 18 millions $ a fonctionné

La société de sécurité blockchain Blockaid a été la première à signaler l'exploit sur la chaîne, notant que l'attaquant avait commencé à échanger les USDC volés contre de l'ETH via Kyber peu après l'attaque . L'attaque s'est déroulée en trois étapes :

1. Compromission de la clé : L'attaquant a obtenu la clé privée d'un signataire d'oracle enregistré — un identifiant autorisé à soumettre des données de prix au protocole .
2. Manipulation des prix : En utilisant la clé compromise, l'attaquant a soumis des rapports de prix favorables et antidatés via un contrat PriceUpkeep forwarder enregistré sur le réseau Gelato .
3. Extraction des profits : L'attaquant a exécuté environ 20 transactions déléguées en boucle, ouvrant et fermant des positions aux prix falsifiés pour générer des profits de trading fictifs . Le coffre du protocole a ensuite versé ces profits fantômes en USDC réels .

Les estimations des pertes varient de 12 millions à 22 millions de dollars, la plupart des rapports les fixant à environ 18 millions de dollars . Blockaid estimait les pertes à environ 18 millions de dollars, tandis que CertiK les plaçait à environ 22 millions de dollars ; les deux sociétés ont attribué l'incident à une compromission du système d'oracle d'Ostium .

Quel pourcentage de la TVL a été perdu ?

Le pourcentage dépend de la base de référence utilisée, et les sources donnent des chiffres différents :

• ~35% du trésor/coffre du protocole (~34 millions $)
• ~35% du coffre de liquidités OLP (~34 millions $)
• ~28% de la TVL totale (~63 millions $)
• Généralement décrit comme "environ un tiers de ses liquidités"

Le chiffre le plus souvent cité est environ 35% du trésor/coffre de plus de 34 millions de dollars du protocole .

Les bailleurs de fonds d'Ostium

Ostium a levé environ 27,8 millions de dollars auprès de bailleurs de fonds dont General Catalyst et Jump Crypto . D'autres tours de financement antérieurs ont également été rapportés, mais General Catalyst et Jump Crypto sont les deux investisseurs institutionnels nommés en lien avec cet exploit .

Comment cela s'inscrit dans la tendance 2026 des vols de clés DeFi

L'exploit d'Ostium n'est pas une vulnérabilité de contrat intelligent inédite — c'est un vol d'identifiant par clé privée utilisé pour manipuler un mécanisme de flux de prix de confiance. Cela le place directement dans le modèle d'attaque dominant de 2026 :

• 72% de toutes les pertes DeFi en 2026 proviennent de clés volées et de vols d'identifiants, non de bugs de contrats intelligents .
• Les compromissions d'infrastructure et opérationnelles (vol de clés, failles de contrôle d'accès) ne représentaient qu'environ 15% des incidents mais environ 76% des pertes en dollars — bien plus que l'impact des exploits de code traditionnels .
• Le premier semestre 2026 a enregistré 207 incidents de piratage — le plus haut nombre jamais enregistré sur six mois — avec des pertes totales d'environ 972 millions de dollars .
• Avril a été le pire mois, principalement en raison de deux compromissions de clés liées à la Corée du Nord : KelpDAO (293 millions $) et Drift Protocol (280 millions $) . Ces deux vols représentaient à eux seuls plus des trois quarts des pertes du deuxième trimestre .

Selon les données de DeFiLlama, les projets blockchain ont collectivement perdu environ 16,69 milliards de dollars à cause de piratages et d'exploits au fil du temps, environ 40% de ces pertes résultant de compromissions de clés privées . De manière cumulative, plus de 17 milliards de dollars ont été volés via 518 incidents de clés privées enregistrés sur dix ans .

En résumé : l'exploit d'Ostium est un cas d'école du virage des attaquants qui passent de l'exploitation du code au vol de clés, où un petit nombre d'événements de compromission de clés cause une part disproportionnée des pertes totales . Pour les protocoles DeFi, auditer les contrats intelligents ne suffit plus — sécuriser les clés de signataires d'oracle et autres identifiants privilégiés est devenu le nouveau front.