Ostium、オラクル署名者キーの悪用で取引停止 — 流出額は約1800万ドル、暗号資産DeFiの新たな脅威を浮き彫りに

約1800万ドルのエクスプロイトの仕組み

ブロックチェーンセキュリティ企業Blockaidが最初にオンチェーン上の不正な動きを検知し、攻撃者が盗んだUSDCをKyber経由でETHに換金し始めたことを確認しました 。攻撃は以下の3ステップで進行しました。

1. 鍵の不正取得: 攻撃者は、プロトコルに価格データを提出する権限を持つ、登録済みオラクル署名者の秘密鍵を入手 。
2. 価格操作: 入手した鍵を使用し、Gelatoネットワーク上の登録済みPriceUpkeepフォワーダーコントラクトを通じて、将来日付の有利な価格レポートを提出 。
3. 利益の引き出し: 操作された価格で約20回のループするデリゲート取引（ポジションの開閉を繰り返す）を実行し、架空の取引利益を生成 。プロトコルの金庫は、この架空の利益に対して実際のUSDCを支払いました 。

損失額の推定は情報源によって1200万ドルから2200万ドルまで幅がありますが、ほとんどの報道は約1800万ドルとしています 。Blockaidは約1800万ドル、CertiKは約2200万ドルと推定し、両社とも原因をOstiumのオラクルシステムの侵害に起因するとしています 。

TVL（預入資産総額）の何パーセントが失われたか？

損失の比率は基準とするTVLの値によって異なり、複数の数値が報告されています。

最も広く引用されている数値は、プロトコルの約3400万ドル以上の金庫に対する約35% です 。

Ostiumの支援者と資金調達額

Ostiumは、General CatalystやJump Cryptoを含む投資家から、合計で約2780万ドルの資金を調達していました 。このエクスプロイトに関連して名前が挙がっている機関投資家は、この2社が中心です 。

2026年のDeFi鍵窃取トレンドにおける位置づけ

Ostiumのエクスプロイトは、新しいスマートコントラクトの脆弱性ではありません。これは秘密鍵（認証情報）の窃取という、信頼された価格フィードの仕組みを悪用した攻撃です。そして、この攻撃手法は2026年に主流となっているパターンに完全に合致します。

• 2026年のDeFi損失の72%は、スマートコントラクトのバグではなく、秘密鍵や認証情報の窃取によるものでした 。
• インフラ・運用上の侵害（鍵の盗難、アクセス制御の突破）は、発生件数では全体の約15%に過ぎませんでしたが、損失額では約76%を占め、従来のコードの欠陥を利用した攻撃を大きく上回りました 。
• 2026年上半期（H1）のハッキング incidents は207件と過去最多を記録し、総損失額は約9億7200万ドルに達しました 。
• 特に4月は被害が大きく、北朝鮮関連グループによるとされるKelpDAO（2億9300万ドル） と Drift Protocol（2億8000万ドル） という2件の大規模な鍵窃取事件が発生しました 。この2件だけで第2四半期（Q2）の損失の4分の3以上を占めています 。

DeFiLlamaのデータによれば、ブロックチェーンプロジェクトはこれまでに累計で約166億9000万ドルをハッキングやエクスプロイトで失っており、そのうち約40%が秘密鍵の侵害によるものです 。過去10年間で記録された518件の秘密鍵関連の事件では、総額170億ドル以上が盗まれています 。

結論: Ostiumのエクスプロイトは、攻撃者の標的がコードの脆弱性から鍵の窃取へと移行していることを示す典型的な事例です。少数の鍵侵害事件が、全損失額の中で不均衡に大きな割合を占めるという構図が浮き彫りになっています 。DeFiプロトコルにとって、スマートコントラクトの監査だけではもはや不十分であり、オラクル署名者の鍵をはじめとする特権的な認証情報の保護が新たな防御の最前線となっています。