Ostium 遭預言機漏洞抽走最多 1,800 萬美元 USDC　即時叫停交易

建基於 Arbitrum、主打真實世界資產（RWA）永續合約交易的 Ostium，周三因遭黑客操控預言機（oracle）系統，從其流動性金庫抽走最多約 1,800 萬美元 USDC，平台已全面暫停交易。Ostium 曾獲 General Catalyst、Jump Crypto 等支持，累計融資約 2,780 萬美元。 鏈上保安公司 Blockaid 指，攻擊者利用已註冊的 PriceUpKeep forwarder，並透過「未來日期（future-dated）」且獲授權的預言機報告製造虛假交易盈利，觸發金庫向其支付約 1,800 萬美元 USDC。Blockaid 同時披露涉事交易及攻擊者地址，均發生在 Arbitrum 上；相關交易（0x359f8c05...d4870e0）已可在鏈上核實。 損失金額目前未有一致口徑。Blockaid 估算流出款項約 1,800 萬美元；亦有獨立鏈上觀察者認為金額較低，部分估算約 1,186 萬美元。Ostium 至今未公布自身損失核算。根據 DefiLlama 數據，事發前協議總鎖倉價值（TVL）約 6,330 萬美元，即使採用較低估算，對金庫餘額而言仍屬顯著比例。 今次事件再次凸顯 DeFi 協議在「keeper」自動化機制與預言機報價管道上的風險：協議用以把現實世界價格上鏈的關鍵組件，一旦被攻擊者控制，便可能就從未真正盈利的交易作出結算與賠付。類似事件近期屢見不鮮。Summer.fi 在 7 月 6 日的事後報告中稱，因股份價格被操控而損失約 604 萬美元；2025 年 4 月，KiloEx 亦曾因有人冒充可信 keeper 向協議輸入錯價，於三條鏈合共被抽走約 750 萬美元，結構與 Blockaid 所述的 Ostium 個案相近。 Ostium 已在 X 確認事故並暫停市場運作："我們已注意到 OLP vault 的問題，已暫停所有交易，團隊正調查。"Ostium 允許用戶以加密錢包交易黃金、原油、股票指數及外匯等資產的永續合約，並以 USDC 在 Arbitrum 這條 Layer 2 網絡上結算。按 Ostium 公布資料，其 OLP 金庫累計支持逾 330 億美元交易量，覆蓋 50 多個市場。 值得注意的是，Blockaid 指攻擊者所利用的組件位於 Ostium 先前要求保安研究員視作「可信」的範圍內。Ostium 的漏洞懸賞（bug bounty）範圍說明提到，所有已註冊的 keepers（包括 PriceUpKeep）及其 forwarders "均假設為可信並正常運作"；若調查結果需要假設 keeper 已被入侵或具惡意，將不在計劃範圍之內。 目前，攻擊手法及「最高 1,800 萬美元」的損失上限屬 Blockaid 的披露內容，尚未有第三方完成獨立對賬。Blockaid 的描述提及「已註冊 forwarder」及「未來日期且獲授權的預言機報告」，但未指明有私鑰被盜；市場上部分說法則將事件形容為私鑰遭入侵。Ostium 亦未交代攻擊者如何取得提交相關報告的能力，亦未公布最終損失數字。