एक हफ्ते में DeFi के दो बड़े Oracle हैक: BLC का 99% गिरना और Ostium से $18M की चोरी

हमला क्यों सफल हुआ: प्रोटोकॉल के आर्किटेक्चर में दो मॉड्यूल थे - Spotter (जो कोलेटरल की कीमत रिकॉर्ड करता है) और Dog (जो लिक्विडेशन हैंडल करता है)। हैकर ने Spotter कॉन्ट्रैक्ट के poke फंक्शन के जरिए सिस्टम में BTCB की कृत्रिम रूप से कम कीमत डाल दी। लेंडिंग कॉन्ट्रैक्ट ने इस कीमत को बिना किसी सीमा की जांच और बिना किसी लिक्विडेशन देरी के स्वीकार कर लिया, जिससे हैकर एक ही ट्रांजेक्शन में कई वॉल्ट्स को लिक्विडेट करके कोलेटरल हड़प सका ।

Ostium का $18 मिलियन का शोषण: Arbitrum पर Oracle हमला

क्या हुआ: 15 जुलाई 2026 को, Arbitrum पर चलने वाले decentralized perpetuals एक्सचेंज Ostium पर Oracle हमला हुआ । हैकर ने OLP लिक्विडिटी वॉल्ट से लगभग $18 मिलियन USDC निकाल लिए । सुरक्षा फर्म Blockaid ने पहले मैलिशियस ट्रांजेक्शन के 40 मिनट के अंदर ही इस शोषण को डिटेक्ट कर लिया था ।

हमला क्यों सफल हुआ: हैकर ने Oracle साइनर की प्राइवेट की (एक ऐसी प्राइवेट की जो प्रोटोकॉल को प्राइस डेटा सबमिट करने के लिए अधिकृत थी) को चुरा लिया और एक रजिस्टर्ड PriceUpKeep फॉरवर्डर (Ostium के ऑटोमेटेड प्राइस-फीड इंफ्रास्ट्रक्चर का एक घटक) का दुरुपयोग करके फ्यूचर-डेटेड टाइमस्टैम्प के साथ फर्जी प्राइस रिपोर्ट सबमिट की। इन हेरफेर की गई रिपोर्टों से ऐसा लगा कि हैकर ने लाभकारी ट्रेड किए हैं, जिससे वॉल्ट से $18 मिलियन USDC का भुगतान शुरू हो गया ।

नुकसान के आंकड़ों में उलझन: जहां Blockaid और ज्यादातर बड़े मीडिया आउटलेट लगभग $18 मिलियन का आंकड़ा बता रहे हैं, वहीं दूसरी सुरक्षा फर्मों के अलग-अलग अनुमान हैं। Phalcon ने नुकसान लगभग $24 मिलियन तक होने का अनुमान लगाया, और कुछ रिपोर्टों में $12-$22 मिलियन की रेंज बताई गई है । Ostium ने खुद ट्रेडिंग रोक दी थी और तुरंत नुकसान की अंतिम संख्या की पुष्टि नहीं की ।

साइड-बाय-साइड तुलना

मुख्य अंतर: BLC का क्रैश एक कैस्केडिंग लिक्विडेशन घटना थी जो एक हेरफेर की गई कीमत से शुरू हुई। Ostium एक डायरेक्ट वॉल्ट ड्रेन था जो एक समझौता किए गए Oracle साइनिंग की की वजह से फर्जी ट्रेडिंग प्रॉफिट के जरिए हुआ।

पांच बड़ी DeFi Oracle कमजोरियां जो ये घटनाएं उजागर करती हैं

1. सिंगल-पॉइंट-ऑफ-फेलियर Oracle आर्किटेक्चर

दोनों प्रोटोकॉल उन Oracle प्राइस फीड पर निर्भर थे जिन्हें एक ही चुराई गई की (Ostium) या एक ही प्राइस-इंजेक्शन फंक्शन (42DAO) के जरिए मैनिपुलेट किया जा सकता था। OWASP स्मार्ट कॉन्ट्रैक्ट टॉप 10 (2026) में प्राइस ओरेकल मैनिपुलेशन को SC03 के रूप में सूचीबद्ध किया गया है, जिसे "किसी भी ऐसी स्थिति के रूप में परिभाषित किया गया है जहां एक स्मार्ट कॉन्ट्रैक्ट प्राइस डेटा पर निर्भर करता है जिसे हैकर प्रत्यक्ष या अप्रत्यक्ष रूप से प्रभावित कर सकता है" । जब कोई प्रोटोकॉल अपने Oracle डेटा को मान्य या क्रॉस-रेफरेंस नहीं करता है, तो हर प्राइस फीड एक सिंगल पॉइंट ऑफ फेलियर बन जाता है।

2. ऑटोमेटेड लिक्विडेशन कैस्केड

BLC घटना दिखाती है कि जब कोई प्रोटोकॉल बिना उचित जांच या देरी के लिक्विडेशन ट्रिगर करने के लिए Oracle कीमतों का उपयोग करता है, तो एक ही हेरफेर की गई कीमत एक डेथ स्पाइरल का कारण बन सकती है। हैकर उन वॉल्ट्स को लिक्विडेट करने में सक्षम था जिन्हें कभी लिक्विडेट नहीं किया जाना चाहिए था, क्योंकि प्रोटोकॉल ने झूठी कीमत को तुरंत और बिना किसी रेंज वैलिडेशन के स्वीकार कर लिया ।

3. की मैनेजमेंट और एक्सेस कंट्रोल की कमजोरियां

Ostium का शोषण इसलिए संभव हो सका क्योंकि एक Oracle साइनर की समझौता कर ली गई थी, जिससे हैकर एक अधिकृत प्राइस रिपोर्टर के रूप में काम कर सका । सुरक्षा के सर्वोत्तम उपायों में नियमित की रोटेशन, महत्वपूर्ण संचालन के लिए मल्टी-सिग आवश्यकताएं और अधिकृत साइनर्स की निरंतर निगरानी शामिल है - ऐसा लगता है कि Ostium में इनमें से कोई भी मौजूद नहीं था ।

4. फ्लैश लोन एम्प्लीफिकेशन (व्यापक पैटर्न)

जबकि इन दोनों घटनाओं में से कोई भी पूरी तरह से फ्लैश लोन अटैक नहीं था, OWASP के आंकड़े बताते हैं कि 2026 में 78% ओरेकल मैनिपुलेशन घटनाओं में फ्लैश लोन का उपयोग अटैक इंफ्रास्ट्रक्चर के रूप में किया गया । DeFi की रचना इसे संभव बनाती है कि हमलावर एक ही लेन-देन के भीतर भारी रकम उधार ले सकें, कीमत में हेरफेर कर सकें, प्रोटोकॉल का शोषण कर सकें और ऋण चुका सकें - इससे पहले कि कोई हस्तक्षेप कर सके।

5. TWAP और मल्टी-सोर्स ओरेकल का कम उपयोग

दोनों प्रोटोकॉल ने सिंगल-सोर्स या आसानी से हेरफेर किए जा सकने वाले प्राइस फीड का उपयोग किया। सुरक्षा विशेषज्ञ लगातार टाइम-वेटेड एवरेज प्राइस (TWAP) ओरेकल (जैसे 10+ मिनट की विंडो के साथ Uniswap V3 से) और कई स्वतंत्र प्राइस स्रोतों को क्रॉस-रेफरेंस करने की सलाह देते हैं । OWASP रिपोर्ट में कहा गया है कि पर्याप्त विंडो वाले TWAP ओरेकल का उपयोग करने वाले प्रोटोकॉल 82% सिंगल-ट्रांजेक्शन प्राइस मैनिपुलेशन हमलों को खत्म कर देते हैं ।

निष्कर्ष

BLC और Ostium के शोषण कोई अपवाद नहीं हैं; ये आज DeFi में सबसे लगातार कमजोरी के पाठ्यपुस्तकीय उदाहरण हैं। Oracle मैनिपुलेशन हमले पूरी तरह से स्मार्ट कॉन्ट्रैक्ट कमजोरियां हैं जिनके लिए न तो इनसाइडर एक्सेस की जरूरत होती है और न ही जीरो-डे की - बस एक ऐसे प्रोटोकॉल की जरूरत होती है जो बिना किसी सुरक्षा उपाय के एक ही प्राइस स्रोत पर भरोसा करता हो । जैसे-जैसे DeFi प्रोटोकॉल जटिलता और टोटल वैल्यू लॉक्ड में बढ़ रहे हैं, जुलाई 2026 के सुरक्षा सबक स्पष्ट हैं: हर प्राइस फीड को मान्य करें, मल्टी-सोर्स ओरेकल का उपयोग करें, लिक्विडेशन में देरी लागू करें, और कभी भी किसी एक की या एक फंक्शन को यूजर फंड्स का एकमात्र गेटकीपर न बनने दें।