Deux attaques d'oracle en une semaine : le crash du BLC et le piratage d'Ostium sonnent l'alarme sur la sécurité de la DeFi

Pourquoi cela a fonctionné ? L'architecture du protocole comprenait deux modules : Spotter, qui enregistre le prix de la garantie, et Dog, qui gère les liquidations. L'attaquant a utilisé la fonction poke du contrat Spotter pour pousser un prix BTCB artificiellement bas dans la comptabilité du système. Le contrat de prêt a accepté ce prix sans le vérifier par rapport à une fourchette précise et sans aucun délai de liquidation, permettant à l'attaquant de liquider plusieurs coffres et de saisir la garantie en une seule transaction .

L'exploit de 18 millions de dollars sur Ostium et Arbitrum

Que s'est-il passé ? Le 15 juillet 2026, Ostium — un exchange de perpétuels décentralisé sur Arbitrum — a subi une attaque d'oracle qui a siphonné environ 18 millions de dollars en USDC de son coffre de liquidité OLP . La société de sécurité Blockaid a détecté l'exploit moins de 40 minutes après la première transaction malveillante .

Pourquoi cela a fonctionné ? L'attaquant a compromis une clé de signature d'oracle — une clé privée autorisée à soumettre des données de prix au protocole — et a abusé d'un forwarder PriceUpKeep enregistré (un composant de l'infrastructure automatisée de flux de prix d'Ostium) pour soumettre des rapports de prix falsifiés avec des timestamps antidatés. Les rapports manipulés donnaient l'impression que l'attaquant avait exécuté des transactions rentables, déclenchant un paiement de 18 millions de dollars USDC depuis le coffre .

Nuance sur le montant des pertes : Alors que Blockaid et la plupart des grands médias rapportent environ 18 millions de dollars, d'autres sociétés de sécurité ont proposé des estimations différentes. Phalcon a estimé les pertes jusqu'à environ 24 millions de dollars, et certains rapports citent une fourchette de 12 à 22 millions de dollars . Ostium lui-même a suspendu les échanges et n'a pas immédiatement confirmé un montant total définitif .

Comparaison côte à côte

Distinction clé : Le crash du BLC était un événement de liquidation en cascade déclenché par un seul prix manipulé. Ostium était un prélèvement direct du coffre via des profits de trading forgés, rendu possible par une clé de signature d'oracle compromise.

Cinq vulnérabilités plus larges des oracles DeFi mises en évidence par ces incidents

1. Architecture oracle à point de défaillance unique

Les deux protocoles dépendaient de flux de prix oracle qui pouvaient être manipulés via une seule clé compromise (Ostium) ou une seule fonction d'injection de prix (42DAO). Le OWASP Smart Contract Top 10 pour 2026 classe la manipulation des oracles de prix comme SC03, la définissant comme « toute situation où un contrat intelligent repose sur des données de prix qui peuvent être directement ou indirectement influencées par un attaquant » . Lorsqu'un protocole ne valide pas ou ne recoupe pas ses données oracle, chaque flux de prix devient un point de défaillance unique.

2. Cascades de liquidations automatisées

L'incident du BLC montre que lorsqu'un protocole utilise les prix des oracles pour déclencher des liquidations sans vérifications ni délais appropriés, un seul prix manipulé peut provoquer une spirale mortelle. L'attaquant a pu liquider des coffres qui n'auraient jamais dû l'être parce que le protocole a accepté le faux prix instantanément et sans aucune validation de fourchette .

3. Faiblesses dans la gestion des clés et le contrôle d'accès

L'exploit d'Ostium a été possible parce qu'une clé de signature d'oracle a été compromise, permettant à l'attaquant d'agir en tant que rapporteur de prix autorisé . Les bonnes pratiques de sécurité exigent une rotation régulière des clés, des exigences multi-signatures pour les opérations critiques et une surveillance continue des signataires autorisés — rien de tout cela ne semble avoir été en place chez Ostium .

4. Amplification par flash loan (le schéma plus large)

Bien qu'aucun de ces incidents n'ait été exclusivement une attaque par flash loan, les données de l'OWASP montrent que 78 % des incidents de manipulation d'oracle en 2026 impliquent des flash loans comme infrastructure d'attaque . La composabilité de la DeFi permet aux attaquants d'emprunter des sommes énormes en une seule transaction, de manipuler un prix, d'exploiter le protocole et de rembourser le prêt — tout cela avant que quiconque puisse intervenir.

5. Sous-utilisation des oracles TWAP et multi-sources

Les deux protocoles semblent avoir utilisé des flux de prix unisources ou facilement manipulables. Les recommandations de sécurité préconisent systématiquement l'utilisation d'oracles à prix moyen pondéré dans le temps (TWAP) — par exemple, depuis Uniswap V3 avec des fenêtres de 10 minutes ou plus — et le recoupement de plusieurs sources de prix indépendantes . Le rapport OWASP note que les protocoles utilisant des oracles TWAP avec des fenêtres adéquates éliminent 82 % des attaques de manipulation de prix en une seule transaction .

À retenir

Les exploits du BLC et d'Ostium ne sont pas des anomalies ; ce sont des exemples parfaits de la vulnérabilité la plus persistante de la DeFi aujourd'hui. Les attaques par manipulation d'oracle sont de pures vulnérabilités de contrat intelligent qui ne nécessitent aucun accès privilégié ni zero-day — seulement un protocole qui fait confiance à une source de prix unique sans garde-fous . Alors que les protocoles DeFi continuent de gagner en complexité et en valeur totale verrouillée, les leçons de sécurité de juillet 2026 sont claires : validez chaque flux de prix, utilisez des oracles multi-sources, implémentez des délais de liquidation et ne laissez jamais une seule clé ou une seule fonction être le seul gardien des fonds des utilisateurs.