Kunci Oracle Bocor, $18 Juta Raib: Begini Cara Hacker Membobol Ostium di Arbitrum

Bagaimana Eksploitasi $18 Juta Bekerja

Perusahaan keamanan blockchain Blockaid adalah pihak pertama yang mendeteksi eksploitasi ini di rantai, mencatat bahwa pelaku mulai menukar USDC curian menjadi ETH melalui Kyber segera setelah serangan . Serangan berlangsung dalam tiga langkah:

1. Kompromi Kunci: Pelaku mendapatkan kunci pribadi dari seorang penandatangan oracle yang terdaftar — kredensial yang berwenang mengirimkan data harga ke protokol .
2. Manipulasi Harga: Menggunakan kunci yang dibobol, pelaku mengirimkan laporan harga yang menguntungkan dengan tanggal di masa depan melalui kontrak PriceUpkeep forwarder yang terdaftar di jaringan Gelato .
3. Ekstraksi Keuntungan: Pelaku mengeksekusi sekitar 20 perdagangan terdelegasi berulang, membuka dan menutup posisi pada harga palsu untuk menghasilkan keuntungan trading fiktif . Vault protokol kemudian membayarkan keuntungan palsu tersebut dalam USDC nyata .

Perkiraan kerugian dari berbagai sumber berkisar antara $12 juta hingga $22 juta, dengan sebagian besar laporan menyebut angka ~$18 juta . Blockaid memperkirakan kerugian sekitar $18 juta, sementara CertiK menyebut angka sekitar $22 juta; kedua perusahaan mengaitkan insiden ini dengan kompromi sistem oracle Ostium .

Berapa Persentase TVL yang Hilang?

Persentasenya tergantung pada dasar perhitungan yang digunakan, dan sumber memberikan angka yang berbeda:

• 35% dari treasury/vault protokol ($34 juta)
• 35% dari vault likuiditas OLP ($34 juta)
• 28% dari total TVL ($63 juta)
• Secara umum digambarkan sebagai "sekitar sepertiga dari likuiditasnya"

Angka yang paling sering dikutip adalah sekitar 35% dari treasury/vault protokol senilai $34+ juta .

Pendukung dan Pendanaan Ostium

Ostium berhasil mengumpulkan dana sekitar $27,8 juta dari para pendukung termasuk General Catalyst dan Jump Crypto . Putaran pendanaan awal lainnya juga dilaporkan, tetapi General Catalyst dan Jump Crypto adalah dua investor institusional yang disebutkan sehubungan dengan eksploitasi ini .

Bagaimana Ini Sesuai dengan Tren Pencurian Kunci DeFi 2026

Eksploitasi Ostium bukanlah kerentanan kontrak pintar yang baru — ini adalah pencurian kredensial kunci pribadi yang digunakan untuk memanipulasi mekanisme umpan harga tepercaya. Ini menempatkannya tepat di tengah pola serangan dominan tahun 2026:

• 72% dari semua kerugian DeFi pada tahun 2026 berasal dari kunci curian dan pencurian kredensial, bukan dari bug kontrak pintar .
• Kompromi infrastruktur dan operasional (pencurian kunci, pelanggaran kontrol akses) hanya menyumbang sekitar 15% insiden tetapi sekitar 76% dari total kerugian dolar — jauh melampaui dampak eksploitasi kode tradisional .
• Semester I 2026 mencatat 207 insiden peretasan — jumlah tertinggi dalam enam bulan yang pernah tercatat — dengan total kerugian ~$972 juta .
• April adalah bulan terburuk, didorong oleh dua kompromi kunci terkait Korea Utara: KelpDAO ($293 juta) dan Drift Protocol ($280 juta) . Kedua pencurian ini saja mencakup lebih dari tiga perempat kerugian Q2 .

Menurut data DeFiLlama, proyek blockchain secara kolektif telah kehilangan sekitar $16,69 miliar melalui peretasan dan eksploitasi dari waktu ke waktu, dengan sekitar 40% dari kerugian tersebut disebabkan oleh kompromi kunci pribadi . Secara kumulatif, lebih dari $17 miliar telah dicuri melalui 518 insiden kunci pribadi yang tercatat selama sepuluh tahun .

Intinya: eksploitasi Ostium adalah contoh klasik dari pergeseran penyerang dari mengeksploitasi kode menjadi mencuri kunci, di mana sejumlah kecil peristiwa kompromi kunci menyebabkan bagian kerugian total yang sangat tidak proporsional . Bagi protokol DeFi, mengaudit kontrak pintar saja tidak lagi cukup — mengamankan kunci penandatangan oracle dan kredensial istimewa lainnya telah menjadi garis depan baru.