Ostium stoppt Handel nach Oracle-Angriff: bis zu 18 Mio. USDC aus Liquiditäts-Tresor abgezogen

Ostium, eine auf Arbitrum laufende Perpetuals-Börse für den Handel mit Real-World-Assets, hat am Mittwoch den gesamten Handel ausgesetzt. Auslöser ist ein Angriff, bei dem nach Angaben der Onchain-Sicherheitsfirma Blockaid das Oracle-System manipuliert wurde und aus dem Liquiditäts-Vault bis zu 18 Mio. USDC abgeflossen sein sollen. Blockaid zufolge nutzte der Angreifer einen registrierten PriceUpKeep-Forwarder und mit einem Datum in der Zukunft versehene, autorisierte Oracle-Reports, um künstliche Handelsgewinne zu erzeugen. Dadurch sei eine Auszahlung von rund 18 Mio. USDC aus dem Vault ausgelöst worden. Blockaid veröffentlichte die Exploit-Transaktion sowie die Adresse des Angreifers, beides auf Arbitrum. Die genannte Transaktion 0x359f8c05...d4870e0 ist onchain bestätigt. Unklar bleibt die genaue Schadenshöhe. Blockaid beziffert die Auszahlung auf etwa 18 Mio. USDC. Unabhängige Onchain-Beobachter nennen niedrigere Werte; einzelne Schätzungen liegen bei rund 11,86 Mio. USDC. Ostium hat bislang keine eigene Abrechnung veröffentlicht. Kurz vor dem Angriff lag der Total Value Locked (TVL) des Protokolls laut DefiLlama bei etwa 63,3 Mio. US-Dollar. Selbst die niedrigere Schätzung würde damit einen spürbaren Anteil am Vault-Bestand ausmachen. Der Vorfall reiht sich in eine Serie von Exploits ein, die auf automatisierte "Keeper"- und Oracle-Systeme zielen, mit denen DeFi-Protokolle Offchain-Preise onchain verfügbar machen. Summer.fi verlor laut eigenem Postmortem am 6. Juli rund 6,04 Mio. US-Dollar durch eine Manipulation des Anteilspreises. Im April 2025 wurden bei KiloEx über drei Chains hinweg etwa 7,5 Mio. US-Dollar entwendet, nachdem ein Angreifer einen vertrauenswürdigen Keeper imitierte und falsche Preise einspeiste – eine Struktur, die dem von Blockaid bei Ostium beschriebenen Muster ähnelt. Der wiederkehrende Schwachpunkt: Sobald die Preis-Lieferkette kompromittiert ist, können Protokolle Auszahlungen auf Gewinne leisten, die tatsächlich nie entstanden sind. Ostium bestätigte den Vorfall und pausierte die Märkte. "Wir sind uns des Problems mit dem OLP-Vault bewusst. Wir haben den gesamten Handel pausiert. Das Team untersucht den Vorfall", schrieb das Protokoll auf X. Ostium ermöglicht Perpetual-Kontrakte auf Vermögenswerte wie Gold, Öl, Aktienindizes und Devisen direkt aus einer Krypto-Wallet, die Abrechnung erfolgt in USDC auf Arbitrum, einem Layer-2-Netzwerk. Nach Angaben von Ostium hat der OLP-Vault kumuliert mehr als 33 Mrd. US-Dollar Handelsvolumen über mehr als 50 Märkte abgewickelt. Brisant ist zudem der Aspekt, dass sich die von Blockaid benannte Komponente innerhalb eines Bereichs befunden haben soll, den Ostium gegenüber Sicherheitsforschern als vertrauenswürdig definiert hatte. In den Bug-Bounty-Bedingungen heißt es, alle registrierten Keeper, einschließlich PriceUpKeep, "und ihre Forwarder" würden als vertrauenswürdig betrachtet und korrekt betrieben; Befunde, die einen kompromittierten oder bösartigen Keeper voraussetzen, liegen demnach außerhalb des Programms. Mechanismus und maximale Schadenssumme beruhen auf den Angaben von Blockaid und sind bislang nicht unabhängig abgeglichen. Blockaid spricht von einem "registrierten Forwarder" und "autorisierten Oracle-Reports mit künftigem Datum", äußert sich jedoch nicht dazu, ob ein Private Key kompromittiert wurde – auch wenn einzelne Darstellungen des Angriffs dies so einordnen. Ostium hat bisher weder erklärt, wie der Angreifer die Reports einreichen konnte, noch eine konkrete Verlustsumme genannt.