Två Oracle-attacker på en vecka – vad kollapsen av BLC och stölden på Ostium avslöjar om DeFi-säkerheten 2026

Varför det fungerade: Protokollets arkitektur innehöll två moduler – Spotter, som registrerar priset på säkerheten, och Dog, som hanterar likvidationer. Angriparen använde Spotter-kontraktets poke-funktion för att skjuta in ett artificiellt lågt BTCB-pris i systemets redovisning. Lånekontraktet accepterade priset utan att kontrollera det mot en korrekt prisintervall och utan någon fördröjning av likvidationer, vilket gjorde att angriparen kunde likvidera flera valv och beslagta säkerheterna i en enda transaktion .

Ostium: 18 miljoner dollar stulen på Arbitrum

Vad hände: Den 15 juli 2026 drabbades Ostium – en decentraliserad perpetualbörs på Arbitrum – av en oracle-attack som dränerade cirka 18 miljoner USDC från dess OLP-likviditetsvalv . Säkerhetsföretaget Blockaid upptäckte exploiten mindre än 40 minuter efter den första skadliga transaktionen .

Varför det fungerade: Angriparen komprometterade en oraclesigneringsnyckel – en privat nyckel med behörighet att skicka prisdata till protokollet – och missbrukade en registrerad PriceUpKeep-vidarebefordrare (en del av Ostiums automatiserade prisdata-infrastruktur) för att lämna in förfalskade prisrapporter med framtida tidsstämplar. De manipulerade rapporterna fick det att se ut som att angriparen hade gjort lönsamma affärer, vilket utlöste en utbetalning på 18 miljoner USDC från valvet .

Skillnader i förlustsiffror: Medan Blockaid och de flesta större medier rapporterar cirka 18 miljoner dollar, har andra säkerhetsföretag lämnat olika uppskattningar. Phalcon uppskattade förlusterna till så mycket som cirka 24 miljoner dollar, och vissa rapporter anger ett intervall på 12–22 miljoner dollar . Ostium självt pausade handeln och bekräftade inte omedelbart någon slutgiltig förlustsumma .

Jämförelse sida vid sida

Viktig skillnad: BLC-kraschen var en kaskadlikvidation utlöst av ett enda manipulerat pris. Ostium var en direkt tömning av valvet via förfalskade handelsvinster som möjliggjordes av en komprometterad oraclesigneringsnyckel.

Fem breda DeFi-sårbarheter som dessa incidenter belyser

1. Enkelpunktsberoende oraclearkitektur

Båda protokollen förlitade sig på oracle-prisflöden som kunde manipuleras genom en enda komprometterad nyckel (Ostium) eller en enda prisinjektionsfunktion (42DAO). OWASP Smart Contract Top 10 för 2026 listar Price Oracle Manipulation som SC03 och definierar det som ”alla situationer där ett smart kontrakt förlitar sig på prisdata som direkt eller indirekt kan påverkas av en angripare” . När ett protokoll inte validerar eller korsrefererar sina oracle-data blir varje prisflöde en enskild felpunkt.

2. Automatiserade likvidationskaskader

BLC-incidenten visar att när ett protokoll använder oracle-priser för att utlösa likvidationer utan ordentliga kontroller eller fördröjningar, kan ett enda manipulerat pris orsaka en dödsspiral. Angriparen kunde likvidera valv som aldrig borde ha likviderats, eftersom protokollet accepterade det falska priset omedelbart och utan någon intervallvalidering .

3. Brister i nyckelhantering och åtkomstkontroll

Ostiums exploit var möjlig eftersom en oraclesigneringsnyckel komprometterades, vilket gjorde att angriparen kunde agera som en auktoriserad prisrapportör . God säkerhetspraxis kräver regelbunden nyckelrotation, mult-sign-krav för kritiska operationer och kontinuerlig övervakning av auktoriserade signerare – ingen av dessa verkar ha funnits på plats hos Ostium .

4. Flashlåneförstärkning (det bredare mönstret)

Även om ingen av dessa incidenter uteslutande var en flashlåneattack, visar OWASPs data att 78 % av alla oracle-manipuleringsincidenter 2026 involverar flashlån som attackinfrastruktur . DeFis sammansättning gör det möjligt för angripare att låna enorma summor i en enda transaktion, manipulera ett pris, utnyttja protokollet och betala tillbaka lånet – allt innan någon hinner ingripa.

5. Underanvändning av TWAP och multi-source-orakel

Båda protokollen verkar ha använt enkelkälls- eller lättmanipulerade prisflöden. Säkerhetsrekommendationer pekar konsekvent på tidsviktade genomsnittspris-orakel (TWAP) – till exempel från Uniswap V3 med fönster på 10+ minuter – och korsreferens av flera oberoende priskällor . OWASP-rapporten noterar att protokoll som använder TWAP-orakel med tillräckligt stora fönster eliminerar 82 % av enkeltransaktionsattackerna med prismanipulation .

Slutsatsen

Exploaterna av BLC och Ostium är inga avvikelser – de är läroboksexempel på den mest ihållande sårbarheten inom DeFi idag. Oracle-manipuleringsattacker är rena smartkontraktssårbarheter som varken kräver insideråtkomst eller nolldagarsattacker – bara ett protokoll som litar på en enda priskälla utan skyddsmekanismer . När DeFi-protokoll fortsätter att växa i komplexitet och totalt låst värde är säkerhetsläxorna från juli 2026 tydliga: validera varje prisflöde, använd multi-source-orakel, implementera likvidationsfördröjningar och låt aldrig en enda nyckel eller en enda funktion vara den enda grindvakten för användarnas pengar.