速報》Arbitrum 上の RWA 永続先物プラットフォーム Ostium がハッキング被害、1,800 万ドル！オラクルの秘密鍵漏洩が災いに

O ecosistema Arbitrum enfrenta um grande incidente de segurança! A plataforma de contratos perpétuos descentralizados para sustentabilidade e ativos do mundo real (RWA) Ostium, focada em RWA, foi alvo de um ataque, devido a uma fuga da chave privada do oracle. Os atacantes manipularam maliciosamente os preços, causando perdas até 18,00 milhões de dólares USDC, cerca de 35% do capital do seu tesouro. Atualmente, a equipa oficial está a conduzir uma investigação urgente.
（Antecedentes: Dragonfly partner: O “fim do mundo” DeFi “hackers” não se concretizou; em 2026, o montante roubado foi apenas 1890 milhões de dólares, anualizado）
（Informação de contexto: O fundador da Robinhood fez uma transmissão em direto para revelar a seed phrase! Ataque hackers a trocar Meme Coins, o volume subiu para 20 milhões de dólares）

Sumário

Toggle

• Fuga da chave privada do oracle, atacantes fazem 900% de lucro brutal
• Perdas superiores a 18,00 milhões de dólares, fundos já dispersos e transferidos
• Recebeu financiamento de 27,80 milhões de dólares de instituições de topo, investigação oficial em curso

As defesas de segurança no setor das finanças descentralizadas (DeFi) voltaram a ser postas à prova de forma severa. Em 15 de julho de 2026, hora de Taipei, a plataforma de contratos perpétuos de ativos do mundo real (RWA) Ostium, implantada na rede Arbitrum, sofreu uma falha de segurança grave, levando os atacantes a saquear descaradamente o seu tesouro de liquidez.

Fuga da chave privada do oracle, atacantes fazem 900% de lucro brutal

De acordo com investigações preliminares de várias empresas de segurança blockchain, como Blockaid, o cerne deste ataque não foi uma vulnerabilidade no código do próprio contrato inteligente, mas sim uma falha fatal na “gestão de chaves confidenciais do oracle”. Os atacantes terão obtido a chave privada do signatário do oracle (Oracle signer), contornando a validação do sistema e submetendo de forma arbitrária dados de preços manipulados.

🚨 Blockaid detected an @Ostium Vault exploit on Arbitrum.

An attacker used a registered PriceUpKeep forwarder and future-dated authorized oracle reports to create artificial trade profit, triggering a ~$18M USDC payout from the vault.
More details in 🧵

— Blockaid (@blockaid_) July 15, 2026

Os atacantes usaram um forwarder registado (PriceUpKeep forwarder) para enviar relatórios autorizados do oracle com data futura, falsificando assim os preços dos ativos que lhes eram favoráveis. O modus operandi foi: primeiro usar uma pequena quantidade de USDC para abrir uma posição long de Bitcoin (BTC), depois enviar um relatório com preço baixo para abrir a posição e, em seguida, enviar um relatório com preço alto para fechar a posição, o que acionou instantaneamente o limite máximo de lucro de 900% definido pela plataforma. Através de ações delegadas (Delegated actions), os atacantes repetiram este ciclo cerca de 20 vezes, extraindo continuamente fundos do tesouro de liquidez.

Perdas superiores a 18,00 milhões de dólares, fundos já dispersos e transferidos

Os dados da cadeia da Arbiscan mostram que este ataque levou a Ostium a perder cerca de 11,86 milhões a 18,00 milhões de dólares em USDC no seu tesouro principal de liquidez. Este prejuízo avultado corresponde a aproximadamente 35% do tamanho total do tesouro da plataforma (mais de 34,00 milhões de dólares). Neste momento, os atacantes já trocaram parte dos fundos roubados por Ether (ETH) e transferiram-nos de forma dispersa para múltiplos endereços de carteira, tentando contornar a rastreabilidade.

Recebeu financiamento de 27,80 milhões de dólares de instituições de topo, investigação oficial em curso

Ostium é uma plataforma descentralizada de contratos perpétuos para ativos não cripto, focada em ações, commodities, câmbio (forex) e índices, entre outros. A percentagem do volume em aberto dos seus ativos não cripto é superior a 95% e utiliza serviços de oracle como a Stork Network. A plataforma tem tido um desempenho sólido no passado: o volume de transações acumulado já ultrapassou 50,000 milhões de dólares e já recebeu financiamento de 27,80 milhões de dólares de importantes sociedades de capital de risco, como General Catalyst, Jump Crypto e Coinbase Ventures.

No momento da redação, a equipa da Ostium ainda está a realizar uma investigação completa sobre este incidente e ainda não publicou um relatório oficial de pós-morte completo. A equipa oficial apela aos utilizadores para acompanharem de perto os avisos mais recentes nos seus canais oficiais, como o X (ex-Twitter) e o Discord, para obter orientações sobre levantamentos e atualizações de segurança. Este incidente voltou a servir de alerta para toda a corrida em RWA e DeFi, evidenciando a importância absoluta da gestão de chaves confidenciais do oracle e de mecanismos de monitorização em tempo real.