Ostium、オラクル悪用で最大1,800万USDC流出か　取引を全面停止

実世界資産（RWA）を対象にしたArbitrum上の無期限先物取引所Ostiumは、オラクル機構が不正操作され、流動性ボールトから最大1,800万USDCが流出した可能性があるとして、水曜日に全取引を停止した。OstiumはGeneral CatalystやJump Cryptoなどを含む投資家から約2,780万ドルを調達している。 オンチェーンセキュリティ企業Blockaidによると、攻撃者は登録済みのPriceUpKeepフォワーダーを用い、将来日付の「承認済みオラクルレポート」を悪用して人工的な取引利益を作り出した。これによりボールトから約1,800万USDCの支払いが発生したという。Blockaidは、Arbitrum上の悪用トランザクションと攻撃者アドレスを公表。対象とされるトランザクション（0x359f8c05...d4870e0）はオンチェーンで確認できる。 流出額については見方が分かれている。Blockaidは支払い額を約1,800万ドル相当と推計する一方、独立系のオンチェーン観測者の一部は約1,186万ドル相当まで低い可能性を指摘。Ostiumは現時点で損失額の集計を公表していない。 DefiLlamaのデータでは、攻撃直前のOstiumのTVL（総預かり資産）は約6,330万ドル。低い推計値でもボールト残高に対して無視できない規模となる。 今回の事案は、DeFiプロトコルがオフチェーンの実世界価格をオンチェーンへ反映する際に用いる自動実行役（キーパー）とオラクルを狙った攻撃の延長線上にある。7月6日にはSummer.fiが持分価格の操作で約604万ドルを失ったとする事後報告を公開。2025年4月にはKiloExが、信頼されたキーパーになりすまして偽の価格を流し込み、3チェーン合計で約750万ドルを流出させたとされ、BlockaidがOstiumで説明した構図と近い。 OstiumはX（旧Twitter）で、"OLPボールトに関する問題を認識している。全取引を停止した。チームが調査中"と投稿し、インシデントを認めた。Ostiumは、金、原油、株価指数、FXなどの資産に対する無期限契約を暗号資産ウォレットから取引でき、Arbitrum（レイヤー2）上でUSDC決済を行う。Ostiumによれば、OLPボールトは50超の市場で累計330億ドル超の取引高を支えてきた。 Blockaidは、攻撃に使われたコンポーネントが、Ostiumがセキュリティ研究者に「安全」として扱うよう求めていた領域に含まれていた点も問題視する。Ostiumのバグバウンティの対象範囲では、PriceUpKeepを含む登録済みキーパーとそのフォワーダーは"信頼され、正しく動作している前提"とされ、キーパーの侵害や悪意あるキーパーを要件とする指摘はプログラム対象外となる。 今回の手口と最大損失額はBlockaidの見解で、独立した検証は完了していない。Blockaidの投稿は「登録済みフォワーダー」と「将来日付の承認済みオラクルレポート」に言及するが、秘密鍵が侵害されたとは明言していない。一部では秘密鍵流出と捉える向きもあるものの、Ostiumはレポート提出権限がどのように得られたかを含め、詳細や損失額をまだ開示していない。