Оракул зламано: як хакери використали приватний ключ, щоб обікрасти децентралізовану біржу Ostium на $18 млн

Як спрацював експлойт на $18 млн

Компанія з блокчейн-безпеки Blockaid першою зафіксувала атаку в мережі, зазначивши, що зловмисник почав обмінювати викрадені USDC на ETH через Kyber невдовзі після атаки . Атака відбулася в три кроки:

1. Компрометація ключа: Зловмисник отримав приватний ключ зареєстрованого підписанта оракула — облікові дані, що дозволяють надсилати цінові дані до протоколу .
2. Маніпуляція цінами: Використовуючи скомпрометований ключ, зловмисник подав датовані майбутнім числом сприятливі цінові звіти через зареєстрований контракт-форвардер PriceUpkeep на мережі Gelato .
3. Витяг прибутку: Зловмисник здійснив приблизно 20 зациклених делегованих трейдів, відкриваючи та закриваючи позиції за сфальсифікованими цінами, щоб генерувати фіктивний торговий прибуток . Пул протоколу виплатив цей фантомний прибуток реальними USDC .

Оцінки втрат із різних джерел коливаються від $12 млн до $22 млн, при цьому більшість звітів вказують на суму ~$18 млн . Blockaid оцінив втрати приблизно в $18 млн, тоді як CertiK — приблизно в $22 млн; обидві компанії пов'язали інцидент із компрометацією системи оракулів Ostium .

Який відсоток TVL було втрачено?

Відсоток залежить від використаного базового показника, і джерела наводять різні цифри:

• 35% скарбниці/пулу протоколу ($34 млн)
• 35% ліквідного пулу OLP ($34M)
• 28% загального TVL ($63M)
• Загалом описується як "близько третини його ліквідності"

Найчастіше цитованою цифрою є приблизно 35% скарбниці/пулу протоколу вартістю понад $34 млн .

Інвестори та фінансування Ostium

Ostium залучив приблизно $27,8 млн від інвесторів, серед яких General Catalyst та Jump Crypto . Повідомлялося також про інші, більш ранні раунди фінансування, але General Catalyst і Jump Crypto є двома названими інституційними інвесторами в контексті цього зламу .

Як це вписується в тренд крадіжки ключів DeFi у 2026 році

Злам Ostium — це не нова вразливість смартконтракту, а крадіжка привілейованих облікових даних (приватного ключа), використана для маніпулювання довіреним механізмом цінових фідів. Це ставить його в один ряд із домінуючим патерном атак 2026 року:

• 72% усіх DeFi-втрат у 2026 році припадають на крадіжку ключів та облікових даних, а не на помилки в смартконтрактах .
• Інциденти, пов'язані з компрометацією інфраструктури та операційною безпекою (крадіжка ключів, порушення контролю доступу), становили лише близько 15% випадків, але спричинили приблизно 76% загальних доларових збитків — що значно перевищує вплив традиційних експлойтів коду .
• У першому півріччі 2026 року зафіксовано 207 інцидентів зламів — найбільша кількість за півроку за всю історію — із загальними втратами близько $972 млн .
• Квітень став найгіршим місяцем, значною мірою через дві масштабні атаки, пов'язані з Північною Кореєю: KelpDAO ($293M) та Drift Protocol ($280M) . Тільки ці дві крадіжки склали понад три чверті втрат другого кварталу .

Згідно з даними DeFiLlama, блокчейн-проекти в цілому втратили приблизно $16,69 мільярда через злами та експлойти, причому близько 40% цих втрат спричинені компрометацією приватних ключів . Загалом за десять років зафіксовано 518 інцидентів із вкраденими приватними ключами, в результаті яких викрадено понад $17 мільярдів .

Підсумок: злам Ostium — це класичний приклад того, як атаки зміщуються з експлойту коду на крадіжку ключів, де невелика кількість інцидентів компрометації ключів спричиняє непропорційно велику частку загальних збитків . Для DeFi-протоколів аудит смартконтрактів більше не є достатнім захистом — захист ключів підписантів оракулів та інших привілейованих облікових даних став новим фронтом боротьби.