Arbitrum永续合约平台Ostium遭1800万美元预言机攻击——2026年最大DeFi安全漏洞之一

2026-07-16 22:16 loading...

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

Ostium遭遇预言机操控攻击，损失约1800万美元

2026年7月15日，基于Arbitrum Layer 2网络的去中心化衍生品交易所Ostium成为一场精心策划的预言机操控攻击的目标。此次攻击从该平台的流动性金库中盗取了约1800万美元的USDC稳定币——成为今年去中心化金融基础设施领域最重大的攻击事件之一，并暴露了区块链协议在保护价格数据方面的关键漏洞。

攻击过程：如何发生

安全公司Blockaid在攻击执行后数小时内即检测到此次入侵，揭示了Ostium价格反馈自动化系统被系统性利用的过程。攻击者获取了名为PriceUpKeep的关键组件的访问权限，这是一份负责在交易执行时向区块链提交真实世界资产价格的智能合约。

攻击者的策略异常简单却有效：他们提交了带有篡改的未来时间戳的预言机报告，使亏损交易看似盈利。利用这一受损的基础设施，攻击者执行了约二十次连续交易循环，每次循环都旨在直接从Ostium的金库中提取资金。虚假的价格数据欺骗了协议智能合约，使其认为交易是可盈利的，从而触发了自动支付，逐步耗尽了平台的流动性储备。

根本原因在于一个被攻破的预言机签名者私钥，这使得攻击者能够绕过验证检查，提交有利的未来价格。这一被泄露的加密凭证成为攻击的基础，最终导致平台约三分之一的资金被提取。

Ostium的即时应对

Ostium团队迅速检测到入侵并采取行动控制损失。在发现攻击后的一小时内，协议暂停了所有交易活动，阻止了进一步的资金提取。该公司发布声明，承认此次安全事件，并确认用户头寸仍处于开放状态但无法修改，被锁定在冻结的交易智能合约中。

此次攻击约占Ostium当时6300万美元总锁定价值（TVL）的28%。平台的快速反应防止了连锁损失，但直接的财务影响依然严重。

Ostium团队与执法部门、网络安全响应组织SEAL 911以及多位独立安全研究人员协调了应对工作。在官方声明中，公司强调了透明度和问责制，表示：“没有创始人愿意发布这样的更新。我们深知构建人们选择使用并信任的基础设施所承担的责任。”

广泛背景：DeFi漏洞频发的一年

Ostium事件发生在去中心化金融安全领域异常动荡的时期。2026年前五个月，DeFi协议被盗资金超过8.4亿美元，其中包括KelpDAO被盗2.92亿美元，Drift Protocol被盗2.85亿美元。Ostium攻击之前，其他平台也遭遇了类似事件，例如Summer.fi仅在几天前损失了600万美元。

Ostium攻击的不同之处在于其瞄准了预言机基础设施层——即协议赖以将真实世界价格数据引入区块链网络的系统。与利用智能合约代码漏洞的攻击不同，预言机攻击利用了授予外部数据集成系统的信任和访问权限。

为何重要：现实世界资产交易与密钥管理

Ostium运营于专注于现实世界资产的去中心化永续合约交易这一不断增长的市场。该协议允许用户基于商品价格、外汇汇率、股票指数及其他非加密货币资产进行合约交易——直接从加密货币钱包操作并以稳定币结算。平台支持高达200倍的杠杆交易，吸引了寻求去中心化传统金融市场准入的机构与交易者。

此次事件突显了DeFi中仍未得到充分解决的关键风险：具备特权功能的私钥的安全性。尽管Ostium从General Catalyst、Jump Crypto、Coinbase Ventures、Wintermute及GSR等主要风险投资公司筹集了2780万美元，并完成了多次专业安全审计，但单个被攻破的加密密钥就足以引发巨额损失。

攻击者的资金转移路径

链上追踪显示，攻击者将提取的USDC转换为以太坊（ETH），获得约12085枚ETH——此举旨在掩盖被盗资金来源，并将其转换为流动性更高、追踪难度更低的资产。转换为以太坊是大型加密货币盗窃案中常用的规避技术，因为被盗价值被转移至更中性的资产，可在交易所之间转移且检测风险较低。

DeFi基础设施的关键教训

Ostium事件强化了2026年一系列DeFi攻击中显现的几种模式。首先，仅靠智能合约审计是不够的——协议必须实施纵深防御安全策略，包括强化密钥管理、实时监控预言机提交数据以及设置交易限额。其次，预言机基础设施应获得等同于甚至高于交易逻辑的安全关注。第三，特权功能的访问控制若未妥善实施，仍是关键漏洞面。

此次事件还表明，机构背书与专业审计虽然有价值，但并不能消除新兴金融基础设施中的技术风险。