Ostium-orakelattacken: Stulen signeringsnyckel tömde 18 miljoner dollar från Arbitrums RWA-perp DEX

Hur 18-miljonersexploiten gick till

Blockkedjesäkerhetsföretaget Blockaid var först med att flagga exploiten on-chain och noterade att angriparen omedelbart började växla den stulna USDC:n till ETH via Kyber . Attacken genomfördes i tre steg:

1. Nyckelkompromettering: Angriparen fick tag på den privata nyckeln till en registrerad orakelsignerare – en credential som är auktoriserad att skicka prisdata till protokollet .
2. Pris manipulering: Med den komprometterade nyckeln skickade angriparen in framtida, gynnsamma prisrapporter via en registrerad PriceUpkeep-vidarebefordrare på Gelato-nätverket .
3. Vinstuttag: Angriparen genomförde cirka 20 loopade delegerade affärer, där positioner öppnades och stängdes till de fabricerade priserna för att generera fiktiva handelsvinster . Protokollets valv betalade sedan ut dessa fantomvinster i riktig USDC .

Uppskattningarna av förlusten varierar mellan 12 och 22 miljoner dollar, men de flesta rapporter landar på cirka 18 miljoner dollar . Blockaid uppskattade förlusten till cirka 18 miljoner dollar, medan CertiK satte siffran till cirka 22 miljoner dollar; båda företagen tillskrev incidenten en kompromettering av Ostiums orakelsystem .

Hur stor andel av TVL förlorades?

Andelen beror på vilket underlag som används, och källorna ger olika siffror:

• Cirka 35 % av protokollets kassa/valv på cirka 34 miljoner dollar
• Cirka 35 % av OLP-likviditetsvalvet (cirka 34 miljoner dollar)
• Cirka 28 % av totalt TVL (cirka 63 miljoner dollar)
• Generellt beskrivet som "ungefär en tredjedel av dess likviditet"

Den mest citerade siffran är cirka 35 % av protokollets kassa/valv på över 34 miljoner dollar .

Ostiums investerare och finansiering

Ostium samlade in cirka 27,8 miljoner dollar från investerare som General Catalyst och Jump Crypto . Även tidigare finansieringsrundor har rapporterats, men General Catalyst och Jump Crypto är de två namngivna institutionella investerarna i samband med denna exploit .

Hur detta passar in i 2026 års trend med stulna nycklar

Ostium-exploiten är inte en ny sårbarhet i smarta kontrakt – det är en stöld av privat nyckel som användes för att manipulera en betrodd prisfeed-mekanism. Det placerar den rakt i det dominerande attackmönstret för 2026:

• 72 % av alla DeFi-förluster 2026 kom från stulna nycklar och lösenordsstöld, inte från buggar i smarta kontrakt .
• Infrastruktur- och operativa komprometteringar (nyckelstöld, åtkomstkontrollbrott) stod för endast cirka 15 % av incidenterna men cirka 76 % av de totala dollarförlusterna – långt mer än traditionella kodexploater .
• Första halvåret 2026 noterade 207 hackincidenter – det högsta antalet någonsin under sex månader – med totala förluster på cirka 972 miljoner dollar .
• April var den värsta månaden, drivet av två Nordkorea-relaterade nyckelkomprometteringar: KelpDAO (293 miljoner dollar) och Drift Protocol (280 miljoner dollar) . Dessa två stölder stod ensamma för över tre fjärdedelar av Q2-förlusterna .

Enligt DeFiLlama-data har blockkedjeprojekt kollektivt förlorat cirka 16,69 miljarder dollar genom hack och exploater, med cirka 40 % av dessa förluster från komprometterade privata nycklar . Kumulativt har över 17 miljarder dollar stulits via 518 registrerade incidenter med privata nycklar under tio år .

Slutsatsen: Ostium-exploiten var ett typexempel på hur angripare har gått från att utnyttja kod till att stjäla nycklar, där ett litet antal nyckelkomprometteringar orsakar en oproportionerligt stor andel av de totala förlusterna . För DeFi-protokoll räcker det inte längre med att granska smarta kontrakt – att säkra orakelsignerares nycklar och andra privilegierade credentials har blivit den nya frontlinjen.