Ostiums orakel-utnyttelse: Hvordan en stjålet nøkkel tømte 18 millioner dollar

Slik fungerte eksploiten på 18 millioner dollar

Blokkjedesikkerhetsselskapet Blockaid var først ute med å flagge angrepet på kjeden, og bemerket at angriperen begynte å bytte de stjålne USDC-myntene mot ETH via Kyber kort tid etter angrepet . Angrepet foregikk i tre trinn:

1. Nøkkelkompromittering: Angriperen skaffet seg den private nøkkelen til en registrert orakelsigner — et legitimasjonsbevis autorisert til å sende inn pristdata til protokollen .
2. Pris manipulasjon: Ved hjelp av den kompromitterte nøkkelen sendte angriperen inn framtidige, gunstige prisrapporter gjennom en registrert PriceUpkeep-videresender-kontrakt på Gelato-nettverket .
3. Profittuthenting: Angriperen utførte omtrent 20 sammenkoblede delegerte handler, åpnet og lukket posisjoner til de fabrikkerte prisene for å generere fiktive handelsprofitter . Protokollens kasse betalte deretter ut disse fantomgevinstene i ekte USDC .

Tapsanslagene varierer fra 12 millioner til 22 millioner dollar på tvers av kilder, men de fleste rapporter lander på omtrent 18 millioner dollar . Blockaid anslo tapene til omtrent 18 millioner dollar, mens CertiK satte tallet til omtrent 22 millioner dollar; begge firmaene tilskrev hendelsen et kompromittert orakelsystem .

Hvor stor andel av TVL gikk tapt?

Prosentandelen avhenger av hvilket grunnlag som brukes, og kildene oppgir ulike tall:

• ~35 % av protokollens kasse/beholdning på omtrent 34 millioner dollar
• ~35 % av OLP-likviditetskassen (~34 millioner dollar)
• ~28 % av total TVL (~63 millioner dollar)
• Generelt beskrevet som «omtrent en tredjedel av likviditeten»

Det mest siterte anslaget er omtrent 35 % av protokollens beholdning/kasse på 34+ millioner dollar .

Ostiums investorer og finansiering

Ostium hentet inn omtrent 27,8 millioner dollar fra investorer som General Catalyst og Jump Crypto . Det er også rapportert om tidligere finansieringsrunder, men General Catalyst og Jump Crypto er de to navngitte institusjonelle investorene i forbindelse med dette angrepet .

Hvordan dette passer inn i trenden med nøkkeltyveri i DeFi 2026

Ostium-utnyttelsen er ikke en ny sårbarhet i smartkontrakter — det er et tyveri av legitimasjon (privat nøkkel) brukt til å manipulere en betrodd prismekanismemekanisme. Det plasserer hendelsen midt i den dominerende angrepsmønsteret i 2026:

• 72 % av alle DeFi-tap i 2026 kom fra stjålne nøkler og legitimasjonstyveri, ikke fra feil i smartkontrakter .
• Infrastruktur- og operasjonelle kompromitteringer (nøkkeltyveri, brudd på tilgangskontroll) utgjorde bare omtrent 15 % av hendelsene, men omtrent 76 % av de totale dollartapene — langt mer enn tradisjonelle kodeutnyttelser .
• Første halvår 2026 registrerte 207 hack-hendelser — det høyeste antallet noensinne på seks måneder — med totale tap på omtrent 972 millioner dollar .
• April var den verste måneden, drevet av to Nord-Korea-relaterte nøkkelkompromitteringer: KelpDAO (293 millioner dollar) og Drift Protocol (280 millioner dollar) . Disse to tyveriene alene utgjorde over tre fjerdedeler av Q2-tapene .

Ifølge data fra DeFiLlama har blokkjede-prosjekter samlet tapt omtrent 16,69 milliarder dollar gjennom hacks og utnyttelser over tid, hvor omtrent 40 % av disse tapene skyldes kompromitteringer av private nøkler . Samlet sett har over 17 milliarder dollar blitt stjålet via 518 registrerte hendelser med private nøkler over ti år .

Hovedpoenget: Ostium-hendelsen er et lærebokeksempel på at angripere har gått fra å utnytte kode til å stjele nøkler, hvor et lite antall nøkkelkompromitteringer forårsaker en uforholdsmessig stor andel av de totale tapene . For DeFi-protokoller holder det ikke lenger å revidere smartkontrakter — sikring av orakelsigneringsnøkler og andre privilegerte legitimasjonsbevis har blitt den nye frontlinjen.