Blockaid披露Ostium遭遇1800万美元攻击，平台紧急暂停全部交易

一款去中心化协议被黑客攻击盗走大量资产，但它的智能合约是经过专业审计没有漏洞的。问题出在预言机用来签名价格的私钥泄露，黑客就能随便篡改代币报价，不断循环套利掏空资金池，项目方只能紧急关闭所有交易。下面小编简单梳理了Ostium预言机安全事件核心逻辑以及警示。

区块链安全公司Blockaid监测发现，Ostium预言机签名私钥泄露，黑客借此从协议流动性金库盗走近1800万枚USDC，Ostium随即全面关停交易功能。

黑客掌控预言机签名私钥，循环套利掏空金库

Blockaid分析报告显示，攻击者盗取预言机签名私钥后，可绕过协议校验机制，上传对自身持仓有利的远期虚假价格数据。黑客借助官方注册的Price Up Keep自动转发器，通过委托操作反复开仓、平仓，无需承担真实市场风险即可套取金库资金。

本次攻击一共执行约20轮循环交易，持续抽走Ostium主金库资产。链上浏览器Arbiscan可查验核心攻击交易记录；链上数据显示，黑客转出资金规模区间为1186万至1800万美元USDC，占事发时协议6300万美元总锁仓量的28%。

Ostium部署在Arbitrum公链，主打代币化现实资产去中心化永续合约，交易品类覆盖股票、大宗商品、外汇与股指。

攻击核心逻辑：预言机密钥泄露引发重复套现

本次漏洞并非智能合约代码缺陷，而是攻击者获取可信预言机基础设施的合法签名密钥后恶意滥用。经Blockaid核实，篡改后的预言机报价能够通过协议全部校验流程，每一笔虚假交易都会被系统判定为合法盈利单，全部亏损由流动性金库承接。

该事件再次凸显预言机安全的重要性：如今DeFi协议高度依赖外部价格数据源定价，而本次攻击根源是签名凭证泄露，并非行情报价偏差、常规交易市场操纵。

目前协议交易功能已全面暂停，团队同步开展调查。官方提示用户关注Ostium官方社交渠道，等待提现方案与资产追回相关最新公告。

官方7月15日更新公告

所有交易者持仓与未平仓合约保持现状、全部冻结；交易存储合约内资金暂停划转。团队正联合多家安全机构深度排查漏洞，后续进展将第一时间对外公示。——Ostium官方X平台

机构资本加持仍未能规避重大安全事故

遭攻击前，Ostium累计完成2780万美元融资，投资方包括General Catalyst、Jump Crypto、Coinbase Ventures、Wintermute、GSR等知名机构。项目手握头部机构投资、且完成多轮安全审计，依旧爆发重大安全事故，说明审计覆盖范围之外的基础设施，仍会成为致命风险点。

本次攻击也是近期加密行业系列安全事件之一：本月早些时候，加密媒体crypto.news曾报道Ctrl钱包因安全漏洞永久关停，部分卡尔达诺钱包用户资产受波及。平台给出用户截止日期8月3日，在此之前可转移全部加密资产；8月3日后转账、兑换功能全部下线，仅保留助记词导出入口。

Arbitrum生态其他动态：Secret Network近期提议将原生代币SCRT从Cosmos跨链迁移至Arbitrum，理由包括现有网络安全隐患、流动性不足、底层代码老化。提案计划9月执行一次性快照，为原生SCRT质押用户在Arbitrum发放新版ERC-20标准SCRT代币。

随着大量项目持续布局Arbitrum，Ostium本次攻击案例印证：预言机基础设施防护，与智能合约审计同等关键。Blockaid调研结论指出，仅一把泄露的预言机签名私钥，短短数小时内就足以绕过整套价格校验体系，造成数千万美元资产损失。