Vault di Ostium svuotato nell'exploit su Arbitrum, perdite stimate vicine a 18 milioni di dollari

Un attaccante ha svuotato 18 milioni in USDC dal vault di Ostium su Arbitrum. La società di sicurezza Blockaid ha segnalato l'incidente su X, attribuendo l'attacco a una manipolazione del feed di prezzo di Ostium. 

Secondo la società di sicurezza, l'attaccante ha utilizzato un forwarder PriceUpKeep registrato e ha inviato rapporti oracle autorizzati con data futura. Ciò ha permesso all'attaccante di registrare profitti di trading inesistenti, e il vault li ha pagati in USDC. 

Blockaid pone la payout a circa 18 milioni di dollari.

Cosa è successo a Ostium?

Società di sicurezza ExVul ha scritto su X, "L'attacco deriva da un Compromissione della Chiave Privata (Firmatario Oracle) che ha portato a una manipolazione del prezzo."

Defimon Alerts è giunto a una conclusione simile, definendo l'evento una compromissione della chiave privata di un firmatario oracle privilegiato che ha portato a una manipolazione del prezzo. Entrambe le descrizioni indicano lo strato oracle di Ostium come il punto debole.

Tuttavia, c'è pieno consenso sull'importo totale perso nell'exploit. Blockaid dice che l'exploit ha innescato "~18 milioni di dollari in payout USDC dal vault." 

ExVul ha riportato che 11,86 milioni di dollari in USDC sono usciti dal vault, aggiungendo che ammontavano a circa il 32% dei 34,3 milioni di dollari di valore totale bloccato (TVL) di Ostium. Defimon Alerts ha registrato una cifra ancora più alta, affermando che Ostium ha perso circa 20 milioni di dollari. Tuttavia, ha anche menzionato che 11.862.445 USDC sono stati svuotati dal vault.

Ostium è uno scambio perpetuo costruito su Arbitrum che permette alle persone di negoziare posizioni leveraged su attività come valute estere, materie prime, metalli ed equities direttamente da un portafoglio self-custody. È stato uno dei primi luoghi DeFi a portare quel tipo di esposizione ai mercati tradizionali on-chain.

Ostium ha recentemente annunciato sostegno istituzionale e aggiornamento della piattaforma 

A fine aprile, Ostium ha lanciato quello che ha definito un strato di esecuzione decentralizzato, un sistema che instrada gli ordini on-chain verso partner istituzionali off-chain per l'hedging. La ragione di ciò, secondo il co-fondatore e CTO Marco Antonio Ribeiro, era connettere i contratti intelligenti ai sistemi di messaggistica istituzionali con latenza inferiore a 100 millisecondi.

Ostium ha chiuso una Serie A da 20 milioni di dollari a dicembre 2025 co-guidata da General Catalyst e Jump, secondo i record di finanziamento di DefiLlama, che elencano anche Coinbase Ventures, Wintermute Ventures e GSR tra i finanziatori. Altre relazioni pongono il totale raccolto dall'azienda a 27,8 milioni di dollari.

La dashboard di DefiLlama mostra attualmente che Ostium detiene 63,33 milioni di dollari di valore totale bloccato, tutto su Arbitrum, con oltre 60 miliardi di dollari di volume perpetuo cumulativo dal lancio. 

Un'altra aggiunta a un periodo brutale per la sicurezza crypto

Ora Ostium si è unita alla crescente lista di aziende che hanno subito una violazione nel 2026.

Il secondo trimestre di 2026 si è chiuso come il trimestre più pesante di attacchi per numero di incidenti, con circa 83 exploit separati fino alla fine di giugno.

Siamo già a metà luglio e l'elenco continua a crescere. Le credenziali di amministratore compromesse e la falsa manipolazione del prezzo hanno rappresentato circa il 37% di quelle perdite, e il furto di chiavi private un altro 5,7%. 

Una compromissione del firmatario oracle del tipo descritta a Ostium si inserisce perfettamente in questa tendenza di attacchi mirati all'accesso privilegiato.

Ostium ha riconosciuto l'exploit, scrivendo su X: "Siamo a conoscenza del problema con il vault OLP. Abbiamo sospeso tutto il trading. Il team sta indagando." Finora, non ha rilasciato alcuna dichiarazione che affronti l'entità della perdita.