Ostium startet diese Woche nach einem Vault-Exploit über 23,7 Millionen US-Dollar neu

Ostium plant, den Handel diese Woche wieder aufzunehmen, etwa fünf Tage nachdem ein Angreifer seine Liquiditäts-Vault geleert hat, sagte die auf Arbitrum basierende Börse am Montag, dem 20. Juli. Händler und Liquiditätsanbieter haben seit dem 15. Juli eingefrorene Mittel, und der Neustart ist ihre erste Chance, in fast einer Woche mit ihren Positionen zu handeln.

Die das Unternehmen erklärte dass es mindestens 24 Stunden Vorwarnung geben wird, bevor der Handel wiedereröffnet wird, und dass Prüfer, externe Cybersicherheitsexperten und seine eigenen Ingenieure zuerst letzte Kontrollen durchführen.

Wenn die Plattform wieder online geht, werden bestehende Positionen zum zum Zeitpunkt des Neustarts geltenden Preis wiedereröffnet.

Ostium betreibt eine dezentrale Perpetuals-Plattform auf Arbitrum, die es Nutzern ermöglicht, gehobelte Wetten auf Forex, Rohstoffe, Metalle, Aktien und Krypto von einer Self-Custody-Wallet aus zu tätigen, wobei Trades in USDC abgerechnet werden. Im Dezember 2025 schloss Ostium eine Series-A-Finanzierung in Höhe von 20 Millionen US-Dollar ab, die von General Catalyst und Jump co-geleitet wurde, laut DefiLlama.

Was wurde beim Ostium-Exploit gestohlen und was nicht?

Ostium bezifferte den Verlust in einem Beitrag auf X vom 19. Juli auf 23.752.746 USDC, seine präziseste Angabe bisher. Der Diebstahl traf die Ostium Liquidity Pool, die Vault, in der Liquiditätsanbieter USDC einzahlen, um Händlerpositionen zu sichern und Gewinn und Verlust abzurechnen.

In einem Follow-up-Post dass nach der Bestätigung des Exploits Ostium erklärte, „Nutzerpositionen bleiben offen und unveränderlich, und Händler-Margin bleibt in den eingefrorenen Trading-Smart-Contracts unbewegt.“

Anfangs gab es keinen allgemeinen Konsens über die Berichterstattung über den geschätzten Verlust. Die Sicherheitsfirma Blockaid meldete den Verlust auf rund 18 Millionen US-Dollar. Eine andere Meldung bezifferte ihn auf 20 Millionen US-Dollar, während Ostiums eigene Buchhaltung und eine Überprüfung durch Galaxy Research beide bei $23.75 Millionen landeten.

Ein Signer-Key, kein Smart-Contract-Bug

Laut Galaxy besaß der Angreifer zwei legitime Anmeldeinformationen, die nur von der Ostium-Governance ausgegeben werden sollen: ein autorisierter Oracle-Signer-Key und ein registrierter PriceUpKeep-Forwarder, die Rolle, die ausstehende Aufträge erfüllt. 

Ostiums Verifizierer prüft, ob ein Preisbericht von einem genehmigten Signer signiert ist, nicht jedoch, ob der Preis real ist. Mit beiden Anmeldeinformationen versorgte der Angreifer das System mit einem korrekt signierten, zukunftsdatierten Preis und handelte dagegen.

Die Sicherheitsfirma Halborn beschrieb die Mechanik im Detail und stellte fest, dass der Angreifer eine Bitcoin-Position zu einem erfundenen Preis von 5.000 US-Dollar eröffnete, sie dann zum echten Marktkurs von rund 60.000 US-Dollar schloss und die Differenz einsteckte. 

Halborn schätzte, dass das Schema über zehn Iterationen hinweg rund 900 % Gewinn pro Runde generierte. Die Sicherheitsfirma bemerkte auch, dass die angegriffene PriceUpKeep-Infrastruktur aus dem Bug-Bounty-Umfang von Ostium ausgeschlossen war, was die Wahrscheinlichkeit verringerte, dass ein Forscher sie zuerst melden würde.

Nach der Entleerung blieben die gestohlenen USDC nicht liegen. PeckShieldAlert meldete, dass der Ausnutzer sie in 12.080 ETH tauschte und 10.540 ETH an den Mixer Tornado Cash sendete.

Ostium informierte seine Community erstmals am 16. Juli über den Vorfall und sagte nur, dass der Handel pausiert und die Behörden informiert worden seien. Das Unternehmen hat einen technischen Post-Mortem in den kommenden Tagen versprochen. 

Was noch nicht detailliert beschrieben wurde, ist, wie Liquiditätsanbieter, die den vollen Treffer abbekamen, entschädigt werden. Es heißt, es arbeite noch an einem Weg für sie.