Vụ khai thác Oracle Ostium: Kẻ tấn công dùng khóa ký bị đánh cắp rút 18 triệu USD từ sàn DEX hợp đồng vĩnh viễn RWA trên Arbitrum

Vụ khai thác 18 triệu USD đã diễn ra như thế nào?

Công ty bảo mật blockchain Blockaid là đơn vị đầu tiên phát hiện vụ khai thác trên chuỗi, lưu ý rằng kẻ tấn công đã bắt đầu chuyển đổi USDC bị đánh cắp thành ETH qua Kyber ngay sau cuộc tấn công . Cuộc tấn công diễn ra theo ba bước:

1. Thỏa hiệp khóa: Kẻ tấn công có được khóa riêng của một người ký oracle đã đăng ký — một thông tin xác thực được ủy quyền để gửi dữ liệu giá cho giao thức .
2. Thao túng giá: Sử dụng khóa đã thỏa hiệp, kẻ tấn công đã gửi báo cáo giá có lợi cho các ngày trong tương lai thông qua một hợp đồng chuyển tiếp PriceUpkeep đã đăng ký trên mạng Gelato .
3. Rút lợi nhuận: Kẻ tấn công đã thực hiện khoảng 20 giao dịch ủy quyền lặp lại, mở và đóng vị thế ở mức giá giả tạo để tạo ra lợi nhuận giao dịch hư cấu . Sau đó, kho quỹ của giao thức đã thanh toán những khoản lợi nhuận ảo đó bằng USDC thật .

Các ước tính thiệt hại từ các nguồn dao động từ 12 triệu USD đến 22 triệu USD, với hầu hết các báo cáo đều đưa ra con số khoảng 18 triệu USD . Blockaid ước tính thiệt hại khoảng 18 triệu USD, trong khi CertiK đưa ra con số khoảng 22 triệu USD; cả hai công ty đều cho rằng sự cố này là do sự thỏa hiệp của hệ thống oracle của Ostium .

Bao nhiêu phần trăm TVL đã bị mất?

Tỷ lệ phần trăm phụ thuộc vào cơ sở được sử dụng và các nguồn đưa ra các con số khác nhau:

• ~35% kho quỹ/giao thức (~34 triệu USD)
• ~35% kho thanh khoản OLP (~34 triệu USD)
• ~28% tổng TVL (~63 triệu USD)
• Thường được mô tả là "khoảng một phần ba thanh khoản của nó"

Con số được trích dẫn phổ biến nhất là khoảng 35% kho quỹ/giao thức hơn 34 triệu USD .

Các nhà đầu tư và nguồn vốn của Ostium

Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư bao gồm General Catalyst và Jump Crypto . Các vòng gọi vốn trước đó cũng đã được báo cáo, nhưng General Catalyst và Jump Crypto là hai tổ chức đầu tư có tên tuổi được đề cập liên quan đến vụ khai thác này .

Sự phù hợp với xu hướng đánh cắp khóa DeFi năm 2026

Vụ khai thác Ostium không phải là một lỗ hổng hợp đồng thông minh mới — đó là một vụ đánh cắp thông tin xác thực khóa riêng được sử dụng để thao túng một cơ chế nguồn cấp dữ liệu giá đáng tin cậy. Điều này đặt nó ngay trong khuôn mẫu tấn công thống trị năm 2026:

• 72% tổng tổn thất DeFi trong năm 2026 đến từ việc đánh cắp khóa và thông tin xác thực, không phải từ lỗi hợp đồng thông minh .
• Các vụ tấn công cơ sở hạ tầng và vận hành (đánh cắp khóa, vi phạm kiểm soát truy cập) chỉ chiếm khoảng 15% số vụ việc nhưng chiếm khoảng 76% tổng thiệt hại bằng USD — vượt xa tác động của các vụ khai thác mã truyền thống .
• Nửa đầu năm 2026 ghi nhận 207 vụ hack — con số cao nhất trong sáu tháng từ trước đến nay — với tổng thiệt hại khoảng 972 triệu USD .
• Tháng 4 là tháng tồi tệ nhất, chủ yếu do hai vụ thỏa hiệp khóa liên quan đến Triều Tiên: KelpDAO (293 triệu USD) và Drift Protocol (280 triệu USD) . Chỉ riêng hai vụ trộm này đã chiếm hơn 3/4 tổn thất trong quý 2 .

Blockchain projects đã mất tổng cộng khoảng 16,69 tỷ USD do hack và khai thác, với khoảng 40% trong số đó là do thỏa hiệp khóa riêng . Trong vòng 10 năm, hơn 17 tỷ USD đã bị đánh cắp qua 518 vụ việc khóa riêng được ghi nhận .

Kết luận: vụ khai thác Ostium là một ví dụ điển hình về việc kẻ tấn công chuyển từ khai thác mã sang đánh cắp khóa, nơi một số lượng nhỏ các vụ thỏa hiệp khóa gây ra một phần tổn thất không tương xứng . Đối với các giao thức DeFi, việc kiểm toán hợp đồng thông minh là chưa đủ — bảo vệ khóa ký oracle và các thông tin xác thực đặc quyền khác đã trở thành tuyến phòng thủ mới.