Vụ khai thác Oracle Ostium: Kẻ tấn công dùng khóa ký bị đánh cắp rút 18 triệu USD từ sàn DEX hợp đồng vĩnh viễn RWA trên Arbitrum
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC. Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC.
Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Bằng cách thực hiện khoảng 20 giao dịch ủy quyền lặp lại, kẻ tấn công đã tạo ra lợi nhuận giao dịch giả và rút USDC thật từ kho quỹ OLP, chiếm khoảng 35% kho quỹ 34 triệu USD.
Ostium đã tạm dừng giao dịch ngay sau khi phát hiện sự cố và khuyên người dùng thu hồi phê duyệt hợp đồng.
Search & fact-check with cited sources for What caused Ostium to halt trading on Arbitrum, how did the attacker exploit a compromised oracleThe Ostium exploit on Arbitrum resulted from a stolen oracle signer key, not a smart contract bug.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What caused Ostium to halt trading on Arbitrum, how did the attacker exploit a compromised oracle. Article summary: Here are the fact-checked findings, organized by each of your questions.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ngày 15 tháng 7 năm 2026, Ostium — một sàn giao dịch DEX hợp đồng vĩnh viễn trên Arbitrum cho phép giao dịch tài sản thực (RWA) — đã bị tấn công thông qua lỗ hổng oracle, dẫn đến việc kho quỹ thanh khoản OLP bị rút cạn và buộc giao thức phải tạm dừng mọi giao dịch . Kẻ tấn công đã thỏa hiệp , một thông tin xác thực đặc quyền được sử dụng để ủy quyền gửi dữ liệu giá, và dùng nó để tạo ra lợi nhuận giả được thanh toán bằng USDC thật từ kho quỹ . Dưới đây là phân tích chi tiết về những gì đã xảy ra, thiệt hại bao nhiêu, và tại sao vụ việc này là một ví dụ điển hình cho vector tấn công DeFi thống trị năm 2026.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Vụ khai thác Oracle Ostium: Kẻ tấn công dùng khóa ký bị đánh cắp rút 18 triệu USD từ sàn DEX hợp đồng vĩnh viễn RWA trên Arbitrum" là gì?
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC.
Những điểm chính cần xác nhận đầu tiên là gì?
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC. Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Tôi nên làm gì tiếp theo trong thực tế?
Bằng cách thực hiện khoảng 20 giao dịch ủy quyền lặp lại, kẻ tấn công đã tạo ra lợi nhuận giao dịch giả và rút USDC thật từ kho quỹ OLP, chiếm khoảng 35% kho quỹ 34 triệu USD.
Vụ khai thác Oracle Ostium: Kẻ tấn công dùng khóa ký bị đánh cắp rút 18 triệu USD từ sàn DEX hợp đồng vĩnh viễn RWA trên Arbitrum
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC. Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Đăng bởiBiên tập bằng DeepSeek-V4-FlashHình ảnh được tạo bằng GPT Image 1.5
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC.
Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Bằng cách thực hiện khoảng 20 giao dịch ủy quyền lặp lại, kẻ tấn công đã tạo ra lợi nhuận giao dịch giả và rút USDC thật từ kho quỹ OLP, chiếm khoảng 35% kho quỹ 34 triệu USD.
Ostium đã tạm dừng giao dịch ngay sau khi phát hiện sự cố và khuyên người dùng thu hồi phê duyệt hợp đồng.
Search & fact-check with cited sources for What caused Ostium to halt trading on Arbitrum, how did the attacker exploit a compromised oracleThe Ostium exploit on Arbitrum resulted from a stolen oracle signer key, not a smart contract bug.
Prompt AI
Create a landscape editorial hero image for this Studio Global article: Search & fact-check with cited sources for What caused Ostium to halt trading on Arbitrum, how did the attacker exploit a compromised oracle. Article summary: Here are the fact-checked findings, organized by each of your questions.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
Ngày 15 tháng 7 năm 2026, Ostium — một sàn giao dịch DEX hợp đồng vĩnh viễn trên Arbitrum cho phép giao dịch tài sản thực (RWA) — đã bị tấn công thông qua lỗ hổng oracle, dẫn đến việc kho quỹ thanh khoản OLP bị rút cạn và buộc giao thức phải tạm dừng mọi giao dịch . Kẻ tấn công đã thỏa hiệp , một thông tin xác thực đặc quyền được sử dụng để ủy quyền gửi dữ liệu giá, và dùng nó để tạo ra lợi nhuận giả được thanh toán bằng USDC thật từ kho quỹ . Dưới đây là phân tích chi tiết về những gì đã xảy ra, thiệt hại bao nhiêu, và tại sao vụ việc này là một ví dụ điển hình cho vector tấn công DeFi thống trị năm 2026.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Câu trả lời ngắn gọn cho "Vụ khai thác Oracle Ostium: Kẻ tấn công dùng khóa ký bị đánh cắp rút 18 triệu USD từ sàn DEX hợp đồng vĩnh viễn RWA trên Arbitrum" là gì?
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC.
Những điểm chính cần xác nhận đầu tiên là gì?
Ngày 15/7/2026, Ostium — một sàn DEX hợp đồng vĩnh viễn trên Arbitrum giao dịch tài sản thực (RWA) — đã bị khai thác oracle, thiệt hại ước tính 18 triệu USD USDC. Kẻ tấn công đã thỏa hiệp khóa riêng của người ký oracle, một thông tin xác thực đặc quyền, và gửi báo giá có lợi cho các ngày trong tương lai.
Tôi nên làm gì tiếp theo trong thực tế?
Bằng cách thực hiện khoảng 20 giao dịch ủy quyền lặp lại, kẻ tấn công đã tạo ra lợi nhuận giao dịch giả và rút USDC thật từ kho quỹ OLP, chiếm khoảng 35% kho quỹ 34 triệu USD.
Công ty bảo mật blockchain Blockaid là đơn vị đầu tiên phát hiện vụ khai thác trên chuỗi, lưu ý rằng kẻ tấn công đã bắt đầu chuyển đổi USDC bị đánh cắp thành ETH qua Kyber ngay sau cuộc tấn công . Cuộc tấn công diễn ra theo ba bước:
Thỏa hiệp khóa: Kẻ tấn công có được khóa riêng của một người ký oracle đã đăng ký — một thông tin xác thực được ủy quyền để gửi dữ liệu giá cho giao thức .
Thao túng giá: Sử dụng khóa đã thỏa hiệp, kẻ tấn công đã gửi báo cáo giá có lợi cho các ngày trong tương lai thông qua một hợp đồng chuyển tiếp PriceUpkeep đã đăng ký trên mạng Gelato .
Rút lợi nhuận: Kẻ tấn công đã thực hiện khoảng 20 giao dịch ủy quyền lặp lại, mở và đóng vị thế ở mức giá giả tạo để tạo ra lợi nhuận giao dịch hư cấu . Sau đó, kho quỹ của giao thức đã thanh toán những khoản lợi nhuận ảo đó bằng USDC thật .
Các ước tính thiệt hại từ các nguồn dao động từ 12 triệu USD đến 22 triệu USD, với hầu hết các báo cáo đều đưa ra con số khoảng 18 triệu USD. Blockaid ước tính thiệt hại khoảng 18 triệu USD, trong khi CertiK đưa ra con số khoảng 22 triệu USD; cả hai công ty đều cho rằng sự cố này là do sự thỏa hiệp của hệ thống oracle của Ostium .
Bao nhiêu phần trăm TVL đã bị mất?
Tỷ lệ phần trăm phụ thuộc vào cơ sở được sử dụng và các nguồn đưa ra các con số khác nhau:
~35% kho quỹ/giao thức (~34 triệu USD)
~35% kho thanh khoản OLP (~34 triệu USD)
~28% tổng TVL (~63 triệu USD)
Thường được mô tả là "khoảng một phần ba thanh khoản của nó"
Con số được trích dẫn phổ biến nhất là khoảng 35% kho quỹ/giao thức hơn 34 triệu USD.
Các nhà đầu tư và nguồn vốn của Ostium
Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư bao gồm General Catalyst và Jump Crypto. Các vòng gọi vốn trước đó cũng đã được báo cáo, nhưng General Catalyst và Jump Crypto là hai tổ chức đầu tư có tên tuổi được đề cập liên quan đến vụ khai thác này .
Sự phù hợp với xu hướng đánh cắp khóa DeFi năm 2026
Vụ khai thác Ostium không phải là một lỗ hổng hợp đồng thông minh mới — đó là một vụ đánh cắp thông tin xác thực khóa riêng được sử dụng để thao túng một cơ chế nguồn cấp dữ liệu giá đáng tin cậy. Điều này đặt nó ngay trong khuôn mẫu tấn công thống trị năm 2026:
72% tổng tổn thất DeFi trong năm 2026 đến từ việc đánh cắp khóa và thông tin xác thực, không phải từ lỗi hợp đồng thông minh .
Các vụ tấn công cơ sở hạ tầng và vận hành (đánh cắp khóa, vi phạm kiểm soát truy cập) chỉ chiếm khoảng 15% số vụ việc nhưng chiếm khoảng 76% tổng thiệt hại bằng USD — vượt xa tác động của các vụ khai thác mã truyền thống .
Nửa đầu năm 2026 ghi nhận 207 vụ hack — con số cao nhất trong sáu tháng từ trước đến nay — với tổng thiệt hại khoảng 972 triệu USD .
Tháng 4 là tháng tồi tệ nhất, chủ yếu do hai vụ thỏa hiệp khóa liên quan đến Triều Tiên: KelpDAO (293 triệu USD) và Drift Protocol (280 triệu USD). Chỉ riêng hai vụ trộm này đã chiếm hơn 3/4 tổn thất trong quý 2 .
Blockchain projects đã mất tổng cộng khoảng 16,69 tỷ USD do hack và khai thác, với khoảng 40% trong số đó là do thỏa hiệp khóa riêng . Trong vòng 10 năm, hơn 17 tỷ USD đã bị đánh cắp qua 518 vụ việc khóa riêng được ghi nhận .
Kết luận: vụ khai thác Ostium là một ví dụ điển hình về việc kẻ tấn công chuyển từ khai thác mã sang đánh cắp khóa, nơi một số lượng nhỏ các vụ thỏa hiệp khóa gây ra một phần tổn thất không tương xứng . Đối với các giao thức DeFi, việc kiểm toán hợp đồng thông minh là chưa đủ — bảo vệ khóa ký oracle và các thông tin xác thực đặc quyền khác đã trở thành tuyến phòng thủ mới.
Công ty bảo mật blockchain Blockaid là đơn vị đầu tiên phát hiện vụ khai thác trên chuỗi, lưu ý rằng kẻ tấn công đã bắt đầu chuyển đổi USDC bị đánh cắp thành ETH qua Kyber ngay sau cuộc tấn công . Cuộc tấn công diễn ra theo ba bước:
Thỏa hiệp khóa: Kẻ tấn công có được khóa riêng của một người ký oracle đã đăng ký — một thông tin xác thực được ủy quyền để gửi dữ liệu giá cho giao thức .
Thao túng giá: Sử dụng khóa đã thỏa hiệp, kẻ tấn công đã gửi báo cáo giá có lợi cho các ngày trong tương lai thông qua một hợp đồng chuyển tiếp PriceUpkeep đã đăng ký trên mạng Gelato .
Rút lợi nhuận: Kẻ tấn công đã thực hiện khoảng 20 giao dịch ủy quyền lặp lại, mở và đóng vị thế ở mức giá giả tạo để tạo ra lợi nhuận giao dịch hư cấu . Sau đó, kho quỹ của giao thức đã thanh toán những khoản lợi nhuận ảo đó bằng USDC thật .
Các ước tính thiệt hại từ các nguồn dao động từ 12 triệu USD đến 22 triệu USD, với hầu hết các báo cáo đều đưa ra con số khoảng 18 triệu USD. Blockaid ước tính thiệt hại khoảng 18 triệu USD, trong khi CertiK đưa ra con số khoảng 22 triệu USD; cả hai công ty đều cho rằng sự cố này là do sự thỏa hiệp của hệ thống oracle của Ostium .
Bao nhiêu phần trăm TVL đã bị mất?
Tỷ lệ phần trăm phụ thuộc vào cơ sở được sử dụng và các nguồn đưa ra các con số khác nhau:
~35% kho quỹ/giao thức (~34 triệu USD)
~35% kho thanh khoản OLP (~34 triệu USD)
~28% tổng TVL (~63 triệu USD)
Thường được mô tả là "khoảng một phần ba thanh khoản của nó"
Con số được trích dẫn phổ biến nhất là khoảng 35% kho quỹ/giao thức hơn 34 triệu USD.
Các nhà đầu tư và nguồn vốn của Ostium
Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư bao gồm General Catalyst và Jump Crypto. Các vòng gọi vốn trước đó cũng đã được báo cáo, nhưng General Catalyst và Jump Crypto là hai tổ chức đầu tư có tên tuổi được đề cập liên quan đến vụ khai thác này .
Sự phù hợp với xu hướng đánh cắp khóa DeFi năm 2026
Vụ khai thác Ostium không phải là một lỗ hổng hợp đồng thông minh mới — đó là một vụ đánh cắp thông tin xác thực khóa riêng được sử dụng để thao túng một cơ chế nguồn cấp dữ liệu giá đáng tin cậy. Điều này đặt nó ngay trong khuôn mẫu tấn công thống trị năm 2026:
72% tổng tổn thất DeFi trong năm 2026 đến từ việc đánh cắp khóa và thông tin xác thực, không phải từ lỗi hợp đồng thông minh .
Các vụ tấn công cơ sở hạ tầng và vận hành (đánh cắp khóa, vi phạm kiểm soát truy cập) chỉ chiếm khoảng 15% số vụ việc nhưng chiếm khoảng 76% tổng thiệt hại bằng USD — vượt xa tác động của các vụ khai thác mã truyền thống .
Nửa đầu năm 2026 ghi nhận 207 vụ hack — con số cao nhất trong sáu tháng từ trước đến nay — với tổng thiệt hại khoảng 972 triệu USD .
Tháng 4 là tháng tồi tệ nhất, chủ yếu do hai vụ thỏa hiệp khóa liên quan đến Triều Tiên: KelpDAO (293 triệu USD) và Drift Protocol (280 triệu USD). Chỉ riêng hai vụ trộm này đã chiếm hơn 3/4 tổn thất trong quý 2 .
Blockchain projects đã mất tổng cộng khoảng 16,69 tỷ USD do hack và khai thác, với khoảng 40% trong số đó là do thỏa hiệp khóa riêng . Trong vòng 10 năm, hơn 17 tỷ USD đã bị đánh cắp qua 518 vụ việc khóa riêng được ghi nhận .
Kết luận: vụ khai thác Ostium là một ví dụ điển hình về việc kẻ tấn công chuyển từ khai thác mã sang đánh cắp khóa, nơi một số lượng nhỏ các vụ thỏa hiệp khóa gây ra một phần tổn thất không tương xứng . Đối với các giao thức DeFi, việc kiểm toán hợp đồng thông minh là chưa đủ — bảo vệ khóa ký oracle và các thông tin xác thực đặc quyền khác đã trở thành tuyến phòng thủ mới.
thedefiant.ioOstium Halts Trading After Oracle Exploit Drains up to $18 ...
cointelegraph.comOstium Pauses Trading After Apparent Oracle Exploit Targets ...
binance.comDerivative protocol Ostium on Arbitrum targeted in attack ...
cryptopolitan.comOstium vault drained in Arbitrum exploit, losses pegged ...