Ostium plant diese Woche einen Neustart nach dem Exploit einer Vault-Ermittlung im Wert von 23,7 Millionen US-Dollar
- Ostium plant, den Handel etwa eine Woche nach dem Angriff, bei dem 23,75 Millionen Dollar aus dem Liquiditätspool abgezogen wurden, wieder aufzunehmen.
- Der Ausbeuter wusch die Gelder über Tornado Cash.
- Die bestehenden Händlerpositionen bleiben eingefroren, aber unverändert, und Ostium hat noch nicht detailliert dargelegt, wie Liquiditätsanbieter für ihre Verluste entschädigt werden.
Ostium plant, den Handel diese Woche wieder aufzunehmen, etwa fünf Tage nachdem ein Angreifer die Liquiditätsreserven der Börse geplündert hatte, teilte die bei Arbitrum ansässige Börse am Montag, dem 20. Juli, mit. Die Gelder von Händlern und Liquiditätsanbietern waren seit dem 15. Juli eingefroren, und die Wiederaufnahme des Handels bietet ihnen die erste Möglichkeit seit fast einer Woche, ihre Positionen zu handeln.
Das Unternehmen teilte mit , dass es mindestens 24 Stunden vor der Wiederaufnahme des Handels informieren werde und dass zuvor noch abschließende Kontrollen durch Wirtschaftsprüfer, externe Cybersicherheitsexperten und eigene Ingenieure durchgeführt würden.
Sobald die Plattform wieder online ist, werden bestehende Positionen zum Preis, der zum Zeitpunkt des Neustarts gilt, wiedereröffnet.
Ostium betreibt eine dezentrale Plattform für Perpetual-Optionen auf Arbitrum, die es Nutzern ermöglicht, mit Hebelwirkung auf Devisen, Rohstoffe, Metalle, Aktien und Kryptowährungen zu spekulieren. Die Transaktionen werden über eine selbstverwaltete Wallet abgewickelt und in USDC abgerechnet. Laut DefiLlama schloss das Unternehmen im Dezember 2025 eine Serie-A-Finanzierungsrunde über 20 Millionen US-Dollar ab, die von General Catalyst und Jump gemeinsam angeführt wurde.
Was wurde während des Ostium-Exploits erbeutet und was nicht?
Ostium bezifferte den Verlust in einem Beitrag vom 19. Juli auf X auf 23.752.746 USDC – die bisher präziseste Angabe. Der Diebstahl betraf den Ostium Liquidity Pool, den Tresor, in dem Liquiditätsanbieter USDC hinterlegen, um Händlerpositionen abzusichern und Gewinne und Verluste auszugleichen.
In einem Folgebeitrag, der nach der Bestätigung des Exploits veröffentlicht wurde, erklärte Ostium, dass „die Positionen der Nutzer offen und unveränderlich bleiben und die Händlermarge in eingefrorenen Smart Contracts unberührt bleibttrac.
Anfangs herrschte kein Konsens über die Angaben zur Höhe des geschätzten Verlustes. Das Sicherheitsunternehmen Blockaid bezifferte den Verlust auf rund 18 Millionen US-Dollar. Eine andere Quelle gab ihn mit 20 Millionen US-Dollar an, während sowohl Ostiums eigene Buchhaltung als auch eine Untersuchung von Galaxy Research einen Verlust von 23,75 Millionen US-Dollar ergaben.
Ein Signaturschlüssel, kein Smart-trac-Bug
Laut Galaxy besaß der Angreifer zwei legitimedent, die ausschließlich von der Ostium-Governance ausgegeben werden dürfen: einen autorisierten Oracle-Signaturschlüssel und einen registrierten PriceUpKeep-Forwarder, die Rolle, die ausstehende Aufträge ausführt.
Der Prüfmechanismus von Ostium überprüft, ob ein Preisbericht von einem autorisierten Unterzeichner signiert wurde, jedoch nicht, ob der Preis tatsächlich existiert. Mit beidendentkonnte der Angreifer dem System einen korrekt signierten, zukünftigen Preis übermitteln und gegen diesen handeln.
Das Sicherheitsunternehmen Halborn beschrieb die Vorgehensweise detailliert und erklärte, dass der Angreifer eine Bitcoin Position zu einem erfundenen Preis von 5.000 US-Dollar eröffnete, sie dann zum realen Marktpreis von etwa 60.000 US-Dollar schloss und die Differenz einstrich.
Halborn schätzte, dass das System über zehn Iterationen hinweg pro Runde einen Gewinn von rund 900 % erzielte. Das Sicherheitsunternehmen merkte außerdem an, dass die betroffene PriceUpKeep-Infrastruktur nicht im Bug-Bounty-Programm von Ostium enthalten war, wodurch die Wahrscheinlichkeit sank, dass ein Forscher sie zuerst entdeckt hätte.
Nach dem Abfluss der USDC blieb das gestohlene Geld nicht an Ort und Stelle. PeckShieldAlert berichtete, dass der Angreifer es gegen 12.080 ETH getauscht und 10.540 ETH an den Mixer Tornado Cashgesendet hatte.
Ostium informierte seine Community erstmals am 16. Juli über dendent und teilte lediglich mit, dass der Handel ausgesetzt und die Behörden benachrichtigt worden seien. Das Unternehmen kündigte eine technische Untersuchung in den kommenden Tagen an.
Noch nicht detailliert dargelegt wurde, wie die Liquiditätsanbieter, die den gesamten Schaden getragen haben, entschädigt werden sollen. Man arbeite noch an einer Lösung für sie, hieß es.
Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.
Häufig gestellte Fragen
Wie viel wurde von Ostium gestohlen und wessen Gelder waren betroffen?
Ostium gab an, dass der Angreifer 23.752.746 USDC aus dem Tresor des Liquiditätsanbieters abgezogen habe; die Händlermarge sei in einem separatentracgehalten worden und nicht eingezogen worden, sodass der Verlust den Liquiditätsanbietern aufgebürdet wurde.
Wie funktionierte der Ostium-Exploit?
Der Angreifer nutzte einen legitimen Oracle-Signaturschlüssel und einen registrierten PriceUpKeep-Forwarder, um zukünftige, korrekt signierte Preise zu übermitteln, und eröffnete und schloss dann wiederholt Positionen, darunter ein Bitcoin Handel, der bei einem gefälschten Kurs von 5.000 US-Dollar eröffnet und in der Nähe des tatsächlichen Kurses von 60.000 US-Dollar geschlossen wurde.
Wann wird Ostium den Handel wieder aufnehmen?
Ostium teilte am 20. Juli mit, dass man auf einen Neustart in dieser Woche hinarbeite und mindestens 24 Stunden vor Wiederaufnahme des Handels Bescheid geben werde, wobei die Positionen zum Neustartpreis wiedereröffnet würden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan/ übernimmt keine Haftung für Investitionen, die auf Grundlage der Informationen auf dieser Seite getätigt werden. Wirtronempfehlen dringend, vor jeder Anlageentscheidung eigene Recherchen durchzuführendent oder einen qualifizierten Fachmann zu konsultieren
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
