Ostium Oracle Saldırısı: Çalınan Bir İmzalayıcı Anahtarı, Arbitrum'daki RWA Sürekli Vadeli İşlem Borsasından 18 Milyon Doları Nasıl Boşalttı?

1. Anahtarın Ele Geçirilmesi: Saldırgan, protokole fiyat verisi gönderme yetkisine sahip olan kayıtlı bir oracle imzalayıcısının özel anahtarını ele geçirdi .
2. Fiyat Manipülasyonu: Ele geçirilen bu anahtarı kullanan saldırgan, Gelato ağı üzerindeki kayıtlı bir PriceUpkeep yönlendirici (forwarder) sözleşmesi aracılığıyla protokole geleceğe yönelik, piyasadan daha avantajlı fiyat raporları gönderdi .
3. Kar Çekme: Saldırgan, bu manipüle edilmiş fiyatlar üzerinden yaklaşık 20 döngülü (looped) temsili işlem gerçekleştirdi. Açıp kapattığı bu pozisyonlar sayesinde hayali ticaret karları oluşturdu . Protokolün kasası, bu hayali karları gerçek USDC olarak saldırgana ödedi .

Kayıp miktarı kaynaklara göre 12 milyon dolar ile 22 milyon dolar arasında değişmekle birlikte, en yaygın kabul gören rakam ~18 milyon dolar oldu . Blockaid ve CertiK gibi güvenlik firmaları da olayı Ostium'un oracle sistemindeki bir zafiyete bağladı .

Ne Kadarlık Bir Kayıp Yaşandı?

Kaybın büyüklüğü, hangi ölçütün kullanıldığına göre değişiyor:

• Hazine/Kasa (Yaklaşık 34 milyon dolar): %35
• OLP Likidite Havuzu (Yaklaşık 34 milyon dolar): %35
• Toplam Kilitli Değer (TVL) (Yaklaşık 63 milyon dolar): %28
• Genel Tanım: Likiditesinin yaklaşık üçte biri

En sık atıfta bulunulan rakam, protokolün 34 milyon dolarlık hazinesinin kabaca %35'i oldu .

Ostium'un Yatırımcıları Kimler?

Ostium, General Catalyst ve Jump Crypto gibi önemli yatırımcıların da aralarında bulunduğu bir gruptan yaklaşık 27,8 milyon dolar yatırım almıştı . Bu iki kurum, saldırı haberiyle birlikte en çok anılan yatırımcılar oldu.

Bu Saldırı Neden 2026'nın Trendini Yansıtıyor?

Ostium saldırısı, yeni bir akıllı sözleşme güvenlik açığından ziyade, güvenilir bir fiyat besleme mekanizmasını manipüle etmek için kullanılan bir özel anahtar hırsızlığı vakasıdır. Bu da onu 2026 yılının baskın saldırı modelinin tam ortasına yerleştiriyor .

Sektör verileri, kripto dünyasında güvenlik tehdidinin artık kodlardan çok, insan faktörü ve operasyonel güvenlik zafiyetlerine kaydığını gösteriyor:

• 2026'daki tüm DeFi kayıplarının %72'si, akıllı sözleşme hatalarından değil, çalınan anahtarlar ve kimlik bilgisi hırsızlığından kaynaklandı .
• Altyapı ve operasyonel güvenlik ihlalleri (anahtar hırsızlığı, erişim kontrolü açıkları) tüm olayların yalnızca %15'ini oluştururken, toplam dolar kaybının yaklaşık %76'sına neden oldu. Bu oran, geleneksel kod açıklarının yol açtığı kayıpları katbekat aştı .
• 2026'nın ilk yarısında toplam 207 saldırı olayı kaydedildi ve bu, şimdiye kadarki en yüksek altı aylık sayı oldu. Toplam kayıp ise yaklaşık 972 milyon dolar seviyesinde gerçekleşti .
• Yılın en kötü ayı Nisan'dı. Bu dönemdeki kayıpların büyük kısmı, Kuzey Kore bağlantılı olduğu düşünülen iki büyük anahtar hırsızlığından kaynaklandı: KelpDAO (293 milyon dolar) ve Drift Protocol (280 milyon dolar) . Bu iki olay, ikinci çeyrekteki kayıpların dörtte üçünden fazlasını oluşturdu .

DeFiLlama verilerine göre, blockchain projeleri bugüne kadar saldırılar ve güvenlik açıkları yoluyla toplamda yaklaşık 16,69 milyar dolar kaybetti ve bu kayıpların yaklaşık %40'ı özel anahtar ihlallerinden kaynaklandı . Kümülatif olarak, on yıl içinde 518 kayıtlı özel anahtar olayıyla 17 milyar doların üzerinde varlık çalındı .

Sonuç: Ostium saldırısı, saldırganların artık kodları değil, anahtarları hedef aldığının ve az sayıdaki anahtar ihlali olayının, toplam kayıplar içinde orantısız derecede büyük bir paya sahip olduğunun metin kitabı niteliğinde bir örneğidir . DeFi protokolleri için akıllı sözleşmeleri denetlemek artık yeterli değil; oracle imzalayıcı anahtarları ve benzeri ayrıcalıklı kimlik bilgilerini güvence altına almak, yeni savunma hattı haline geldi.