Ostium Oracle漏洞：偷咗簽署密鑰，Arbitrum嘅RWA永續DEX被撳走1800萬美金

1800萬美金係點樣被偷走嘅？

區塊鏈安全公司Blockaid係第一個喺鏈上標記呢次攻擊嘅團隊，佢哋話黑客喺攻擊之後即刻經Kyber將偷返嚟嘅USDC換成ETH 。成個攻擊分三步：

1. 密鑰被盜： 黑客取得一個已註冊Oracle簽署器嘅私人密鑰——呢個係一個有權向協議提交價格數據嘅憑證 。
2. 操縱價格： 黑客用偷返嚟嘅密鑰，透過Gelato網絡上一個已註冊嘅PriceUpkeep forwarder合約，提交咗未來日期、對自己有利嘅價格報告 。
3. 套現走人： 黑客執行咗大約20次循環委託交易，用造假嘅價格開倉平倉，製造出虛擬嘅交易利潤 。然後協議個金庫就用真USDC找數俾佢 。

各間媒體嘅損失估算由1200萬到2200萬美金不等，但係大部份都話約1800萬美金 。Blockaid估約1800萬，CertiK就話大概2200萬；兩間公司都話呢單嘢係因為Ostium嘅Oracle系統出事 。

損失咗幾多百分比嘅TVL？

比率要睇你用邊個基數，各間媒體嘅數字有啲出入：

• 金庫/財政部（約3400萬美金）嘅大約35%
• OLP流動性金庫（約3400萬美金）嘅大約35%
• 總TVL（約6300萬美金）嘅大約28%
• 普遍被形容為**「大約三分一流動性」**

最常被引用嘅數字係協議財政部（超過3400萬美金）嘅大約35% 。

Ostium嘅背後投資者同資金

Ostium從投資者度籌得大約2780萬美金，其中包括General Catalyst同Jump Crypto 。之前都有報導過其他早期融資，但係General Catalyst同Jump Crypto係今次事件入面被點名嘅兩間機構投資者 。

呢單嘢點樣反映2026年DeFi密鑰被盜嘅趨勢

Ostium呢單攻擊並唔係新類型嘅智能合約漏洞——而係私人密鑰憑證被盜，再用嚟操縱一個受信任嘅價格餵送機制。呢個完全係2026年主流攻擊模式嘅特徵：

• 2026年所有DeFi損失嘅72%都係嚟自密鑰被盜同憑證洩漏，而唔係智能合約漏洞 。
• 基礎設施同營運層面嘅攻擊（密鑰被盜、權限控制漏洞）只佔事件嘅約15%，但係就造成咗約76%嘅總金額損失——遠超傳統代碼漏洞嘅影響 。
• 2026年上半年錄得207次黑客攻擊——係歷來最高嘅六個月紀錄——總損失約為9.72億美金 。
• 四月係最嚴重嘅一個月，主要由兩單同北韓有關嘅密鑰攻擊造成：KelpDAO（2.93億美金）同Drift Protocol（2.8億美金） 。呢兩單嘢就佔咗Q2損失嘅超過四分之三 。

根據DeFiLlama嘅數據，區塊鏈項目歷來因為黑客攻擊同漏洞總共損失咗大約166.9億美金，其中大概40%係由私人密鑰被盜造成 。累計嚟講，喺過去十年，超過170億美金經由518次已記錄嘅私人密鑰事件被偷走 。

結論係：Ostium呢單攻擊係一個教科書式例子，顯示黑客已經由攻擊代碼轉為偷密鑰，而且少數嘅密鑰事件就造成咗不成比例嘅巨大損失 。對於DeFi協議嚟講，淨係審計智能合約已經唔夠——保護好Oracle簽署器密鑰同其他特權憑證先至係最新嘅前線。