Ostium โดนแฮ็ก Oracle สูญ $18M: บทเรียนจากคีย์เซ็นเนอร์ที่รั่วไหลบน Arbitrum

เมื่อวันที่ 15 กรกฎาคม 2026 Ostium กระดานเทรด perpetual DEX สำหรับสินทรัพย์โลกจริง (RWA) บน Arbitrum ถูกโจมตีผ่าน Oracle จนคลังสภาพคล่อง OLP (Ostium Liquidity Pool) สูญเสียเงินจำนวนมาก และต้องหยุดการเทรดทั้งหมดทันที

แฮกเกอร์เจาะ คีย์ส่วนตัวของ Oracle Signer ซึ่งเป็นเครดิตที่ได้รับอนุญาตให้ยืนยันข้อมูลราคา แล้วใช้คีย์นี้เพื่อส่ง ข้อมูลราคาที่เป็นเท็จในวันที่ในอนาคต ผ่านสัญญา PriceUpkeep forwarder ที่ถูกลงทะเบียนไว้บนเครือข่าย Gelato หลังจากนั้นก็ทำการเทรดแบบ delegated trade แบบวนซ้ำประมาณ 20 รอบ โดยเปิดและปิดออเดอร์ที่ราคาปลอมเหล่านั้น เพื่อสร้างกำไร虚构 สุดท้าย คลังของโปรโตคอลก็จ่ายผลกำไรปลอมเหล่านั้นออกมาเป็น USDC จริงให้กับแฮกเกอร์

ภาพรวมความเสียหาย

บริษัทความปลอดภัย Blockchain อย่าง Blockaid เป็นรายแรกที่ตรวจพบการโจมตีบนเชน และยืนยันว่าแฮกเกอร์เริ่มสวอป USDC ที่ขโมยมาเป็น ETH ผ่าน Kyber ทันที ประมาณการความเสียหายจากหลายแหล่งอยู่ระหว่าง $12 ล้านถึง $22 ล้าน โดยส่วนใหญ่รายงานที่ตัวเลข ~$18 ล้าน Blockaid ประมาณการไว้ที่ประมาณ $18 ล้าน ขณะที่ CertiK วางตัวเลขไว้ที่ประมาณ $22 ล้าน

สัดส่วนความเสียหายเมื่อเทียบกับ TVL

เปอร์เซ็นต์ความเสียหายขึ้นอยู่กับฐานที่ใช้วัด:

• ~35% ของคลัง Treasury/กองทุนของโปรโตคอล (~$34M)
• ~28% ของ TVL ทั้งหมด (~$63M)
• มีคำอธิบายทั่วไปว่า "ประมาณหนึ่งในสามของสภาพคล่อง"

ตัวเลขที่ถูกอ้างถึงบ่อยที่สุดคือ ประมาณ 35% ของ Treasury/กองทุนมูลค่า $34+ ล้านของโปรโตคอล

นักลงทุนและเงินทุนของ Ostium

Ostium ระดมทุนได้ประมาณ $27.8 ล้าน จากนักลงทุนรวมถึง General Catalyst และ Jump Crypto

ทำไมเหตุการณ์นี้ถึงเป็นเทรนด์หลักในปี 2026

การโจมตี Ostium ไม่ใช่ช่องโหว่ของ Smart Contract แบบใหม่ แต่คือ การขโมยข้อมูลประจำตัว (Private Key) เพื่อนำไปจัดการกลไกราคาที่เชื่อถือได้ ซึ่งจัดอยู่ในรูปแบบการโจมตีหลักของปี 2026:

• 72% ของความเสียหาย DeFi ทั้งหมดในปี 2026 มาจากการขโมยคีย์และการขโมยข้อมูลประจำตัว ไม่ใช่จาก Bug ใน Smart Contract
• การโจมตีทางโครงสร้างพื้นฐานและปฏิบัติการ (การขโมยคีย์, การละเมิดการควบคุมการเข้าถึง) คิดเป็นเพียง ~15% ของจำนวนครั้ง แต่คิดเป็น ~76% ของมูลค่าความเสียหายทั้งหมด ซึ่งสูงกว่าการโจมตีด้วยการหาช่องโหว่โค้ดแบบเดิมมาก
• ครึ่งปีแรกของปี 2026 มี 207 ครั้ง ซึ่งเป็นจำนวนสูงสุดเป็นประวัติการณ์ โดยมูลค่าความเสียหายรวมประมาณ $972 ล้าน
• เดือนเมษายนเป็นเดือนที่เสียหายหนักที่สุด โดยมาจากการขโมยคีย์ที่เชื่อมโยงกับเกาหลีเหนือ 2 ครั้งใหญ่: KelpDAO ($293M) และ Drift Protocol ($280M) การโจมตีทั้งสองครั้งนี้คิดเป็นกว่าสามในสี่ของความเสียหายใน Q2

จากข้อมูลของ DeFiLlama โปรเจกต์ Blockchain สูญเสียรวมประมาณ $16.69 พันล้าน จากการแฮ็ก โดยราว 40% ของความเสียหายทั้งหมดมาจากการขโมย Private Key และมูลค่าสะสมกว่า $17 พันล้าน ถูกขโมยจากเหตุการณ์ขโมย Private Key ที่บันทึกไว้ทั้งหมด 518 ครั้งในช่วงสิบปี

ประเด็นสำคัญ: การโจมตี Ostium เป็นกรณีศึกษาแบบคลาสสิกที่แฮกเกอร์เปลี่ยนจากการหาช่องโหว่ในโค้ดมาเป็นการขโมยคีย์ โดยเหตุการณ์ขโมยคีย์เพียงไม่กี่ครั้งกลับสร้างความเสียหายในสัดส่วนที่สูงเกินสัดส่วน สำหรับโปรโตคอล DeFi การตรวจสอบ Smart Contract อย่างเดียวไม่เพียงพออีกต่อไป การรักษาความปลอดภัยของคีย์ Oracle Signer และข้อมูลประจำตัวที่ได้รับสิทธิพิเศษอื่นๆ กลายเป็นแนวหน้าใหม่ของการป้องกัน