Взлом Ostium на Arbitrum: атака на оракул обошлась в $18 млн

Как был совершён взлом на $18 млн?

Специалисты по безопасности блокчейна из компании Blockaid первыми зафиксировали атаку в цепочке, отметив, что злоумышленник начал обменивать украденный USDC на ETH через протокол Kyber вскоре после атаки . Сам взлом прошёл в три этапа:

1. Компрометация ключа: Хакер получил доступ к приватному ключу авторизованного подписанта оракула — механизма, который даёт право отправлять ценовые данные в протокол .
2. Манипуляция ценами: Используя украденный ключ, хакер отправлял через зарегистрированный форвардер PriceUpkeep на сети Gelato выгодные для себя ценовые отчёты с будущими датами .
3. Вывод средств: Злоумышленник совершил около 20 циклических делегированных сделок, открывая и закрывая позиции по сфабрикованным ценам, что генерировало фиктивную торговую прибыль . Казна ппротокола выплатила эти «прибыли» в реальном USDC .

Оценки ущерба колеблются от $12 млн до $22 млн, но большинство источников сходятся на сумме около $18 млн . Blockaid оценил потери примерно в $18 млн, в то время как CertiK — около $22 млн; обе компании связывают инцидент с компрометацией оракульной системы Ostium .

Сколько процентов от TVL было потеряно?

Процент зависит от того, что брать за точку отсчёта:

• 35% от казны/хранилища протокола ($34 млн)
• ~35% от пула ликвидности OLP (также ~$34 млн)
• 28% от общей TVL ($63 млн)
• В общем описании фигурирует фраза «около одной трети ликвидности»

Таким образом, наиболее часто цитируемая цифра — примерно 35% от казны протокола стоимостью более $34 млн .

Инвесторы Ostium и объём привлечённых средств

Ostium привлёк около $27,8 млн от таких инвесторов, как General Catalyst и Jump Crypto . Хотя сообщалось и о более ранних раундах финансирования, именно эти два институциональных инвестора упоминаются в связи с данным взломом .

Как это вписывается в тренд краж ключей в 2026 году

Взлом Ostium — это не новая уязвимость смарт-контрактов, а кража привилегированных учётных данных (приватного ключа), которая использовалась для манипуляции доверенным ценовым механизмом. Это помещает атаку в русло доминирующего тренда 2026 года:

• 72% всех потерь DeFi в 2026 году приходится на кражу ключей и учётных данных, а не на ошибки в коде смарт-контрактов .
• На инфраструктурные и операционные компрометации (кража ключей, нарушение контроля доступа) пришлось лишь около 15% инцидентов, но примерно 76% общего денежного ущерба — намного больше, чем от традиционных эксплойтов кода .
• Первое полугодие 2026 года установило рекорд: 207 хакерских инцидентов с общими потерями в ~$972 млн .
• Апрель стал худшим месяцем, в основном из-за двух крупных краж ключей, связываемых с Северной Кореей: KelpDAO ($293 млн) и Drift Protocol ($280 млн) . Два этих инцидента составили более трёх четвертей всех потерь Q2 .

По данным DeFiLlama, за всё время существования блокчейн-проекты потеряли из-за взломов и эксплойтов примерно $16,69 млрд, причём около 40% этих потерь пришлись на компрометацию приватных ключей . За десятилетие в общей сложности было украдено более $17 млрд в 518 инцидентах, связанных с приватными ключами .

Основной вывод: взлом Ostium — это классический пример того, как атакующие переключились с поиска багов в коде на кражу ключей. Небольшое количество атак на ключи приносит непропорционально большую долю общего ущерба . Для протоколов DeFi аудит смарт-контрактов больше не является достаточной мерой защиты. Обеспечение безопасности ключей подписантов оракулов и других привилегированных учётных данных — это новый рубеж обороны.