融 2780 萬 Ostium 遭預言機私鑰擊穿，LP 金庫蒸發四成

據 Woofun AI 消息，7 月 15 日，部署於 Arbitrum 的去中心化永續合約協議 Ostium 遭遇嚴重預言機攻擊，其 OLP 流動性金庫在數小時內被抽走約 1800 萬至 2400 萬美元 USDC。此次事件並非源於智能合約代碼漏洞，而是攻擊者利用一把泄露的預言機簽名密鑰，通過協議自身的價格上報基礎設施提交僞造的未來時間戳價格數據，成功繞過驗證機制。攻擊者通過循環開平倉操作約 20 次，將虛假利潤從金庫中逐輪提取，導致協議核心資產瞬間蒸發。

攻擊手法的技術覆盤揭示了 DeFi 基礎設施中隱蔽的致命弱點。安全公司 PeckShield 監測顯示，Ostium 的公開 OLP 金庫被盜約 2400 萬枚 USDC，攻擊者隨後將這些資金兌換爲約 12080 枚 ETH，其中已有 10540 枚 ETH 被迅速轉入 Tornado Cash 進行混幣。攻擊者的初始資金來源已被追蹤：通過免 KYC 兌換平臺 ChangeNow 和交易所 Bybit 各獲取 1 枚 ETH 作爲啓動資金，注入錢包地址 0x321D...8bfD9。

Ostium 使用一套自定義的預言機系統追蹤股票、大宗商品和外匯等現實世界資產的價格，由第三方自動化網絡 Gelato 負責將價格數據按需推送上鍊。核心環節是一個名爲 PriceUpKeep 的智能合約，每當交易需要執行時，它觸發最新價格數據的鏈上寫入。Blockaid 最先披露攻擊細節，根據分析，攻擊的根源是一把預言機簽名者的私鑰被盜。這把密鑰用於驗證外部價格數據的真實性，持有它意味着可以向協議提交看起來完全合法的價格報告。

攻擊者利用這把密鑰，通過已註冊的 PriceUpKeep 轉發器提交了帶有未來時間戳的僞造價格數據。具體操作路徑爲，攻擊者以市場價格開倉，隨後使用僞造的價格數據調用 performUpkeep 函數，讓虧損的倉位在協議眼中變成鉅額盈利，然後立即平倉提取利潤。安全公司 Decurity 分析了其中一筆交易，攻擊者在單筆操作中從金庫提取了約 1186 萬美元 USDC。整個循環重複約 10 次，保證金從 1000 美元滾動到 8 萬、再到 70 萬美元，單輪迴報率約 900%。

Woofun AI 整理數據顯示，這種利用運營側密鑰泄露而非代碼邏輯漏洞的攻擊模式，正在成爲新型安全威脅的典型樣本。

損失規模與官方響應方面，Ostium 的 OLP 金庫允許流動性提供者存入 USDC 獲取 OLP 代幣，金庫通過交易活動產生的手續費向 LP 支付收益。這個設計使金庫成爲平臺上每一筆交易的對手方。當攻擊者通過僞造價格製造出虛假盈利時，“利潤”直接從 LP 存入的資金池中流出。攻擊前，OLP 金庫持有約 3400 萬美元 USDC，協議 TVL 約爲 6500 萬美元驟降至 3783 萬美元，這次攻擊抽走了超過 40% 的流動性。

各安全公司對損失金額的估算存在差異，Blockaid 報告約 1800 萬美元，CertiK 估計約 2200 萬美元，PeckShield 給出的數字接近 2400 萬美元。Ostium 本身尚未公佈官方損失數字。Ostium 在事件發生後發佈聲明稱，已發現 OLP 金庫的異常情況，已暫停所有交易，團隊正在調查。協議同時建議所有用戶臨時撤銷對其合約的授權。Ostium 確認交易者的資金和未平倉頭寸以凍結狀態保留，但尚未發佈任何恢復計劃或賠償方案。目前團隊與相關當局、SEAL 911 以及多名安全研究人員保持持續協調。

項目背景與融資歷程顯示，Ostium 由哈佛校友 Kaledora Fontana Kiernan-Linn 和 Marco Antonio Ribeiro 創建，兩人早期在劍橋的一間黑客屋裏運行跨平臺套利策略，多次被離岸 CFD 經紀商凍結賬戶和沒收保證金。Kaledora 在 A 輪融資公開信中回憶，正是這些經歷讓團隊決定構建一個自託管、定價透明的鏈上交易協議。Ostium 定位爲面向現實世界資產的去中心化永續合約交易所，支持股票、大宗商品、外匯和指數交易，最高槓杆 200 倍，以 USDC 結算。

被攻擊之前，協議累計處理超過 500 億美元的交易量，超過 95% 的未平倉合約集中在 RWA 資產類別。2025 年 12 月，Ostium 完成 2000 萬美元 A 輪融資，由 General Catalyst 和 Jump Crypto 聯合領投，加上此前未公開的 400 萬美元戰略輪，累計融資 2780 萬美元，投後估值達 2.5 億美元。

跟投方包括 Coinbase Ventures、Wintermute、GSR 和 Susquehanna International Group（SIG），天使投資人包括前 Coinbase CTO Balaji Srinivasan。2026 年 4 月，Ostium 上線去中心化執行層，Jump 等機構作爲對沖合作方參與。一個因不信任中心化平臺而誕生的協議，最終被一箇中心化組件擊穿。智能合約經過審計，攻擊的突破口卻在預言機簽名密鑰的管理環節，完全位於合約審計的覆蓋範圍之外。

Ostium 的預言機架構依賴單一簽名者驗證價格數據的合法性，一旦這把密鑰泄漏，攻擊者就能以協議認可的身份提交任意價格，整個驗證流程形同虛設。大多數安全審計公司的工作範圍集中在智能合約代碼本身，預言機基礎設施的運維安全、密鑰託管方案和簽名者的訪問控制通常被歸類爲運營安全，不在代碼審計的合同範圍內。合約邏輯的正確性和基礎設施的安全性之間，存在一條審計無法觸及的縫隙。Ostium 的攻擊者恰好從這條縫隙中穿過。

行業警示與宏觀數據表明，過去一週內，至少三個 DeFi 協議因預言機相關漏洞遭受重大損失。7 月 11 日，Hedera 網絡上的 Bonzo Finance 因 Supra 預言機暴露的價格數據漏洞損失 900 萬美元。事後調查發現 Supra 在攻擊前已在其他 11 條鏈上修復了同一漏洞，Hedera 是唯一未及時修補的部署。7 月 15 日（與 Ostium 同一天），DeFi 借貸平臺 Summer.fi 宣佈將永久關閉，此前一週 Summer.fi 因價格操縱攻擊損失 600 萬美元，運營七年的團隊判斷協議無法從事故中恢復。

根據 CertiK 近期發佈的《Hack3D：2026 年上半年報告》，2026 年上半年 Web3 生態共發生 344 起安全事件，累計損失約 13.2 億美元。若剔除 Bybit 遭遇的 14.5 億美元安全事件影響，上半年損失規模同比增長約 28%。錢包被盜造成約 4.5 億美元損失，爲損失最高的攻擊類型；代碼漏洞仍是最常見攻擊方式，共發生 204 起。報告稱，攻擊者正更多瞄準高淨值目標及缺乏重新審計的老舊智能合約，Web3 安全風險持續升級。

未來展望與未解之謎方面，對於 Ostium 的 LP 而言，接下來有三個待觀察節點，攻擊者能否被識別、資金能否被追回，Ostium 如何對受損的 LP 進行賠償，以及協議能否在加固預言機基礎設施後恢復運營。截至發稿，三個問題尚無答案。此次事件再次證明，在高度複雜的 DeFi 系統中，單一的中心化組件可能成爲整個去中心化架構的阿喀琉斯之踵。隨着 RWA 賽道資金規模的擴大，預言機基礎設施的安全標準亟需從單純的代碼審計擴展至全生命週期的運營安全管控。