Exploit no Ostium: Como uma chave de signatário roubada drenou US$ 18 milhões da DEX de perpétuos RWA da Arbitrum

Em 15 de julho de 2026, a Ostium — uma exchange descentralizada (DEX) de contratos perpétuos na Arbitrum focada em ativos do mundo real (RWAs) — foi vítima de um exploit de oráculo que drenou seu vault de liquidez OLP e forçou a interrupção de todas as negociações . O atacante comprometeu uma chave privada de signatário do oráculo, uma credencial privilegiada usada para autorizar o envio de dados de preço, e a utilizou para fabricar lucros que foram pagos em USDC real vindos do vault . Aqui está a análise completa do que aconteceu, o valor perdido e por que este incidente é um caso clássico do principal vetor de ataque DeFi em 2026.

Como o Exploit de US$ 18 Milhões Funcionou

A Blockaid, empresa de segurança blockchain, foi a primeira a sinalizar o exploit na cadeia, observando que o atacante começou a trocar os USDC roubados por ETH através da Kyber logo após o ataque . A ação ocorreu em três etapas:

1. Comprometimento da chave: O invasor obteve a chave privada de um signatário de oráculo registrado — uma credencial autorizada a enviar dados de preço ao protocolo .
2. Manipulação de preço: Usando a chave comprometida, o atacante enviou relatórios de preço favoráveis com datas futuras por meio de um contrato PriceUpkeep forwarder registrado na rede Gelato .
3. Extração de lucro: O invasor executou cerca de 20 operações delegadas em loop, abrindo e fechando posições com os preços manipulados para gerar lucros de negociação fictícios . O vault do protocolo então pagou esses lucros fantasmas em USDC real .

As estimativas de perda variam de US$ 12 milhões a US$ 22 milhões, mas a maioria dos relatos aponta para ~US$ 18 milhões . A Blockaid estimou cerca de US$ 18 milhões em perdas, enquanto a CertiK colocou o valor em aproximadamente US$ 22 milhões; ambas as empresas atribuíram o incidente a um comprometimento do sistema de oráculo da Ostium .

Qual Percentual do TVL Foi Perdido?

O percentual depende da base usada, e as fontes trazem números distintos:

• ~35% do tesouro/vault do protocolo (~US$ 34 milhões)
• ~35% do vault de liquidez OLP (~US$ 34 milhões)
• ~28% do TVL total (~US$ 63 milhões)
• Descrito de forma geral como "cerca de um terço de sua liquidez"

O número mais citado é de aproximadamente 35% do tesouro/vault de US$ 34 milhões do protocolo .

Investidores e Captação de Recursos da Ostium

A Ostium levantou aproximadamente US$ 27,8 milhões de apoiadores como General Catalyst e Jump Crypto . Outras rodadas de financiamento anteriores também foram relatadas, mas General Catalyst e Jump Crypto são os dois investidores institucionais nomeados em conexão com este exploit .

Como Isso se Encaixa na Tendência de 2026 de Roubo de Chaves em DeFi

O exploit da Ostium não é uma vulnerabilidade nova de contrato inteligente — é um roubo de credencial de chave privada usado para manipular um mecanismo confiável de feed de preços. Isso o coloca diretamente dentro do padrão de ataque dominante em 2026:

• 72% de todas as perdas em DeFi em 2026 vieram de chaves roubadas e roubo de credenciais, não de bugs em contratos inteligentes .
• Comprometimentos de infraestrutura e operacionais (roubo de chave, falhas de controle de acesso) representaram apenas cerca de 15% dos incidentes, mas aproximadamente 76% do total de perdas em dólar — superando em muito o impacto dos exploits de código tradicionais .
• O primeiro semestre de 2026 registrou 207 incidentes de hack — o maior número em seis meses já registrado — com perdas totais de ~US$ 972 milhões .
• Abril foi o pior mês, impulsionado principalmente por dois comprometimentos de chave ligados à Coreia do Norte: KelpDAO (US$ 293M) e Drift Protocol (US$ 280M) . Esses dois roubos sozinhos representaram mais de três quartos das perdas do Q2 .

De acordo com dados da DeFiLlama, projetos de blockchain perderam coletivamente aproximadamente US$ 16,69 bilhões através de hacks e exploits ao longo do tempo, com cerca de 40% dessas perdas resultando de comprometimentos de chave privada . Em uma base cumulativa, mais de US$ 17 bilhões foram roubados em 518 incidentes registrados de chave privada em dez anos .

A conclusão: o exploit da Ostium foi um caso clássico de invasores migrando de explorar código para roubar chaves, onde um pequeno número de eventos de comprometimento de chave causa uma parcela desproporcionalmente grande do total de perdas . Para protocolos DeFi, auditar contratos inteligentes não é mais suficiente — proteger as chaves de signatários de oráculos e outras credenciais privilegiadas se tornou a nova linha de frente.