Eksploitasi Oracle Ostium: Kunci Penandatangan Dicuri, AS$18 Juta Lesap dari RWA Perp DEX Arbitrum

Bagaimana Eksploitasi AS$18 Juta Berlaku?

Firma keselamatan blockchain Blockaid adalah yang pertama mengesan eksploitasi ini secara on-rantai, mencatat bahawa penyerang mula menukar USDC yang dicuri kepada ETH melalui Kyber sejurus selepas serangan . Serangan itu berlaku dalam tiga langkah:

1. Kunci dikompromi: Penyerang memperoleh kunci peribadi penandatangan oracle yang berdaftar — satu kelayakan yang dibenarkan untuk menghantar data harga kepada protokol .
2. Manipulasi harga: Menggunakan kunci yang dikompromi, penyerang menghantar laporan harga niaga hadapan yang menguntungkan melalui kontrak penghantar PriceUpkeep berdaftar di rangkaian Gelato .
3. Pengeluaran keuntungan: Penyerang melaksanakan kira-kira 20 dagangan yang diwakilkan secara berulang, membuka dan menutup kedudukan pada harga palsu untuk menjana keuntungan dagangan rekaan . Kumpulan kecairan protokol kemudiannya membayar keuntungan palsu tersebut dalam USDC sebenar .

Anggaran kerugian merentas sumber berkisar antara AS$12 juta hingga AS$22 juta, dengan kebanyakan laporan menyatakan angka sekitar ~AS$18 juta . Blockaid menganggarkan kerugian kira-kira AS$18 juta, manakala CertiK meletakkan angka sekitar AS$22 juta; kedua-dua firma mengaitkan insiden itu dengan kompromi sistem oracle Ostium .

Berapa Peratus TVL yang Hilang?

Peratusan yang hilang bergantung pada garis dasar yang digunakan, dan sumber memberikan angka yang berbeza:

• ~35% daripada perbendaharaan/vault protokol (~AS$34 juta)
• ~35% daripada vault kecairan OLP (~AS$34 juta)
• ~28% daripada jumlah TVL (~AS$63 juta)
• Secara umum digambarkan sebagai "kira-kira satu pertiga daripada kecairannya"

Angka yang paling kerap disebut adalah kira-kira 35% daripada perbendaharaan/vault protokol yang bernilai lebih AS$34 juta .

Penyokong dan Pembiayaan Ostium

Ostium telah mengumpul kira-kira AS$27.8 juta daripada penyokong termasuk General Catalyst dan Jump Crypto . Pusingan pembiayaan awal yang lain juga dilaporkan, tetapi General Catalyst dan Jump Crypto adalah dua pelabur institusi yang dinamakan berkaitan dengan eksploitasi ini .

Bagaimana Ini Selari dengan Trend Kecurian Kunci DeFi 2026?

Eksploitasi Ostium bukanlah kelemahan kontrak pintar yang baharu — ia adalah kecurian kelayakan kunci peribadi yang digunakan untuk memanipulasi mekanisme suapan harga yang dipercayai. Ini meletakkannya tepat dalam corak serangan dominan 2026:

• 72% daripada semua kerugian DeFi pada 2026 berpunca daripada kunci yang dicuri dan kecurian kelayakan, bukan daripada pepijat kontrak pintar .
• Kompromi infrastruktur dan operasi (kecurian kunci, pelanggaran kawalan akses) hanya menyumbang kira-kira 15% daripada insiden tetapi kira-kira 76% daripada jumlah kerugian dalam dolar — jauh melebihi kesan eksploitasi kod tradisional .
• Separuh pertama 2026 mencatatkan 207 insiden penggodaman — jumlah enam bulan tertinggi pernah direkodkan — dengan jumlah kerugian ~AS$972 juta .
• April adalah bulan paling teruk, didorong terutamanya oleh dua kompromi kunci yang dikaitkan dengan Korea Utara: KelpDAO (AS$293 juta) dan Drift Protocol (AS$280 juta) . Dua kecurian ini sahaja menyumbang lebih tiga perempat daripada kerugian suku kedua .

Menurut data DeFiLlama, projek blockchain secara kolektif telah kehilangan kira-kira AS$16.69 bilion melalui penggodaman dan eksploitasi dari semasa ke semasa, dengan sekitar 40% daripada kerugian tersebut disebabkan oleh kompromi kunci peribadi . Secara kumulatif, lebih daripada AS$17 bilion telah dicuri melalui 518 insiden kunci peribadi yang direkodkan dalam tempoh sepuluh tahun .

Kesimpulannya: eksploitasi Ostium adalah contoh buku teks di mana penyerang beralih daripada mengeksploitasi kod kepada mencuri kunci, di mana sebilangan kecil peristiwa kompromi kunci menyebabkan bahagian yang tidak seimbang daripada jumlah kerugian . Untuk protokol DeFi, mengaudit kontrak pintar sahaja tidak lagi mencukupi — melindungi kunci penandatangan oracle dan kelayakan istimewa lain telah menjadi barisan hadapan yang baharu.