Ostium-Vault in Arbitrum-Exploit geleert, Verluste auf fast 18 Mio. USD geschätzt

Ein Angreifer hat 18 Millionen USDC aus dem Ostium-Vault auf Arbitrum abgezogen. Das Sicherheitsunternehmen Blockaid markierte den Vorfall auf X und machte die Manipulation des Preisfeeds von Ostium für den Angriff verantwortlich. 

Laut dem Sicherheitsunternehmen nutzte der Angreifer einen registrierten PriceUpKeep-Forwarder und reichte autorisierte Oracle-Berichte mit zukünftigen Datumsangaben ein. Dies ermöglichte es dem Angreifer, nicht existierende Handelsgewinne zu verbuchen, und das Vault zahlte diese in USDC aus. 

Blockaid setzt die Auszahlung auf etwa $18 Millionen.

Was ist mit Ostium passiert?

Sicherheitsfirma ExVul schrieb auf X: „Der Angriff geht auf einen Kompromittierungsschlüssel (Oracle Signer) zurück, der zu einer Preismanipulation führte.“

Defimon Alerts kam zu einem ähnlichen Schluss und bezeichnete das Ereignis als Kompromittierung eines privaten Schlüssels eines privilegierten Oracle-Signers, die zu einer Preismanipulation führte. Beide Beschreibungen deuten auf die Oracle-Schicht von Ostium als schwachen Punkt hin.

Es besteht jedoch volle Einigkeit über den gesamten im Exploit verlorenen Betrag. Blockaid sagt, dass der Exploit eine „Auszahlung von ~18 Mio. USDC aus dem Vault“ auslöste. 

ExVul berichtete, dass 11,86 Millionen USDC das Vault verließen, und fügte hinzu, dass dies etwa 32 % des Gesamt-Value-Locked (TVL) von Ostium in Höhe von 34,3 Millionen USDC ausmachten. Defimon Alerts notierte einen noch höheren Betrag und gab an, dass Ostium etwa 20 Millionen USDC verlor. Es erwähnte jedoch auch, dass 11.862.445 USDC aus dem Vault abgezogen wurden.

Ostium ist ein Perpetual-Exchange, der auf Arbitrum aufgebaut ist und es Nutzern ermöglicht, gehobelte Positionen auf Vermögenswerte wie Devisen, Rohstoffe, Metalle und Aktien direkt aus einer Self-Custody-Wallet zu handeln. Es war eines der ersten DeFi-Plattformen, die diese Art von Exposure traditioneller Märkte on-chain brachte.

Ostium kündigte kürzlich institutionelle Unterstützung und Plattform-Upgrade an 

Ende April führte Ostium das ein, was es als dezentrale Execution-Layerbezeichnete, ein System, das On-Chain-Bestellungen an Off-Chain-Institutional-Partner zum Hedging weiterleitet. Der Grund dafür war, laut Mitgründer und CTO Marco Antonio Ribeiro, Smart Contracts mit institutionellen Messaging-Systemen mit einer Latenz von unter 100 Millisekunden zu verbinden.

Ostium schloss im Dezember 2025 eine Series-A-Finanzierung in Höhe von 20 Millionen US-Dollar ab, die von General Catalyst und Jump co-led wurde, so die Finanzierungsdaten von DefiLlama, die auch Coinbase Ventures, Wintermute Ventures und GSR als Unterstützer auflisten. Andere Berichte setzen die insgesamt eingeworbene Summe des Unternehmens auf 27,8 Millionen US-Dollar.

Das Dashboard von DefiLlama zeigt derzeit an, dass Ostium 63,33 Millionen US-Dollar an Total Value Locked hält, alles auf Arbitrum, mit mehr als 60 Milliarden US-Dollar an kumuliertem Perpetual-Volumen seit dem Start. 

Ein weiterer Zusatz zu einer brutalen Phase für die Krypto-Sicherheit

Nun hat sich Ostium der wachsenden Liste von Unternehmen angeschlossen, die 2026 einen Sicherheitsverstoß erlitten haben.

Die zweites Quartal von 2026 schloss als das angriffreichste Quartal in der Geschichte nach Anzahl der Vorfälle ab, mit etwa 83 separaten Exploits bis Ende Juni.

Es ist bereits Mitte Juli, und die Liste wächst weiter. Kompromittierte Administrator-Anmeldeinformationen und falsche Preismanipulation machten etwa 37 % dieser Verluste aus, und Diebstahl privater Schlüssel weitere 5,7 %. 

Ein Kompromittieren eines Oracle-Signers, wie bei Ostium beschrieben, fällt genau in diesen Trend von Angriffen, die auf privilegierten Zugriff abzielen.

Ostium hat den Exploit anerkannt und auf X geschrieben: „Wir sind uns des Problems mit dem OLP-Vault bewusst. Wir haben den gesamten Handel pausiert. Das Team untersucht die Angelegenheit.“ Bisher hat es keine Erklärung veröffentlicht, die die Höhe des Verlusts anspricht.