FLASH》A plataforma de contratos perpétuos RWA sustentável da Ostium no Arbitrum foi hackeada: US$ 18 milhões! Chave privada do oráculo vazou e causou o desastre

A rede do ecossistema Arbitrum está repercutindo um grande incidente de segurança! A plataforma de contratos perpétuos descentralizados e de sustentabilidade focada em Ativos do Mundo Real (RWA), Ostium, sofreu um ataque, após vazar a chave privada do oracle (oráculo). Hackers manipularam maliciosamente os preços, causando perdas de até US$ 18 milhões em USDC — cerca de 35% do capital do seu tesouro. No momento, a equipe oficial está conduzindo uma investigação urgente.

(Histórico: sócio da Dragonfly: o “juízo final” de DeFi pelos hackers não se concretizou; em 2026, o valor anualizado roubado foi apenas US$ 1,89 bilhão) (Complemento de contexto: fundador da Robinhood faz live vazando frase-semente! Hackers operam moedas meme, volume dispara para US$ 20 milhões)

Sumário

Toggle

• Vazamento da chave privada do oracle; hacker impulsiona lucros de 900%
• Perda de mais de US$ 18 milhões; fundos já foram diversificados e transferidos
• Já recebeu aportes de US$ 27,80 milhões de instituições de ponta; equipe oficial apressa investigação

As barreiras de segurança no setor de finanças descentralizadas (DeFi) voltaram a enfrentar um desafio sério. Em 15 de julho de 2026, horário de Taipei, a plataforma de contratos perpétuos de RWA (Ativos do Mundo Real) Ostium, implantada na rede Arbitrum, apresentou uma falha grave de segurança, levando a que hackers assaltassem em grande escala o tesouro de liquidez.

Vazamento da chave privada do oracle; hacker impulsiona lucros de 900%

De acordo com investigações preliminares de várias entidades de segurança blockchain, como a Blockaid, o núcleo do ataque não foi uma falha no código do próprio contrato inteligente, e sim uma falha fatal no “gerenciamento de chaves confidenciais do oracle”. O atacante teria obtido a chave privada do signatário do oracle (Oracle signer), contornando a validação do sistema e submetendo, de forma arbitrária, dados de preços manipulados.

🚨 A Blockaid detectou um @Ostium exploit de Vault no Arbitrum.

Um atacante usou um forwarder registrado de PriceUpKeep e relatórios autorizados de oracle com data futura para criar lucro artificial nas negociações, acionando um pagamento de ~$18M USDC saindo do vault. Mais detalhes em 🧵

— Blockaid (@blockaid_) July 15, 2026

O hacker usou um forwarder já registrado (PriceUpKeep forwarder) para enviar relatórios autorizados do oracle com data futura, forjando um preço de ativo vantajoso para si. O modus operandi foi: primeiro, abriu uma posição comprada (long) de bitcoin (BTC) com uma pequena quantia de USDC; em seguida, enviou um relatório com preço baixo para abrir a posição; e depois enviou um relatório com preço alto para fechar a posição, acionando instantaneamente o limite máximo de lucro de 900% configurado na plataforma. Por meio de ações delegadas (Delegated actions), o hacker repetiu esse ciclo cerca de 20 vezes, extraindo continuamente fundos do tesouro de liquidez.

Perda de mais de US$ 18 milhões; fundos já foram diversificados e transferidos

Segundo dados do explorador Arbiscan, este ataque fez com que o tesouro de liquidez principal do Ostium perdesse cerca de US$ 11,86 milhões a US$ 18 milhões em USDC. Essa perda gigantesca representa aproximadamente 35% do tamanho total do tesouro da plataforma (mais de US$ 34 milhões). No momento, os hackers já converteram parte dos ganhos ilícitos em ether (ETH) e os distribuíram e transferiram para vários endereços de carteira diferentes, tentando escapar do rastreamento.

Já recebeu aporte de US$ 27,80 milhões de instituições de ponta; equipe oficial corre para investigar

Ostium é uma plataforma descentralizada de contratos perpétuos focada em ativos não cripto, como ações, commodities, câmbio estrangeiro e índices. A parcela de open interest desses ativos não cripto é de até mais de 95%, e a plataforma adota serviços de oráculo como a Stork Network. A plataforma vinha apresentando resultados fortes: o volume acumulado de negociações já ultrapassou US$ 50 bilhões e ela já recebeu aportes de até US$ 27,80 milhões de investidores de ponta como General Catalyst, Jump Crypto e Coinbase Ventures.

Até o momento em que esta matéria foi publicada, a equipe da Ostium ainda está conduzindo uma investigação completa sobre o caso e não divulgou um relatório oficial completo de pós-incidente. A equipe oficial pediu que os usuários acompanhem de perto os anúncios mais recentes em canais oficiais como o X (ex-Twitter) e o Discord, para obter orientações de saques futuros e atualizações de segurança. O incidente também reacende o alerta para toda a trilha de RWA e DeFi, destacando a importância absoluta do gerenciamento de chaves confidenciais do oracle e de mecanismos de monitoramento em tempo real.