Що сталося
Ostium — децентралізована платформа безстрокових ф’ючерсів (perp-DEX) на Arbitrum, яка дає плечовий доступ до акцій, товарів, форекс і криптовалют, — 15 липня 2026 року зупинила торги. Причина — атака на оракул (сервіс, що постачає протоколу зовнішні цінові дані), яка зачепила сховище ліквідності OLP (Ostium Liquidity Provider). Про інцидент незалежно повідомили компанії з безпеки Blockaid і CertiK: за їхніми оцінками, зі сховища вивели від $18 млн до $22 млн (станом на 15 липня 2026 року).
Деталі
За розбором Blockaid, зловмисник отримав доступ до підписувального ключа оракула і через зареєстрований форвардер PriceUpKeep — компонент, здатний сам виконувати ордери, — передавав у протокол «датовані майбутнім» цінові звіти зі спотвореними котируваннями. На ці фіктивні ціни зловмисник відкривав і одразу закривав угоди, щоразу фіксуючи прибуток до 900% за коло; цикл повторили близько 10 разів, доки сховище не спорожніло майже на третину.
До інциденту TVL Ostium оцінювався приблизно у $63 млн (CoinDesk). Команда проєкту підтвердила проблему й опублікувала рекомендацію: «радимо всім користувачам тимчасово відкликати approvals для наших контрактів, поки ми розслідуємо ситуацію» (Cointelegraph). Точну суму збитків і причину компрометації ключа Ostium поки не підтвердила — оцінки $18 млн і $22 млн незалежні одна від одної і можуть змінитися після завершення розслідування.
Що це означає
Ризик тут не в тому, що хтось торгував з плечем на Ostium, а в тому, що в протоколу залишився дозвіл (approval) розпоряджатися токенами в гаманці. Поки approval активний, скомпрометований або неохайно написаний контракт технічно може списати кошти без нового підтвердження — саме тому команда й радить його відкликати, а не просто вивести баланс.
Кого стосується: насамперед LP-провайдерів сховища OLP (їхня частка в пулі зменшилася через виведення) і активних трейдерів Ostium — торги для них закриті до завершення розгляду. Ширше це стосується будь-кого, хто хоч раз надавав дозвіл (approve) контракту Ostium зі свого гаманця, навіть якщо давно не заходив у застосунок.
Ризик і цифра: під питанням до третини TVL протоколу — $18–22 млн із приблизно $63 млн, за поточними (офіційно не підтвердженими) оцінками двох різних фірм.
Горизонт: торги залишаються на паузі, поки команда не завершить розслідування причини компрометації ключа оракула; окремого дедлайну відновлення Ostium поки не називала — наступним сигналом стане офіційний допис із підсумками розбору інциденту.
