Что произошло
Ostium — децентрализованная платформа бессрочных фьючерсов (perp-DEX) на Arbitrum, дающая плечевой доступ к акциям, товарам, форекс и криптовалютам, — 15 июля 2026 года приостановила торги. Причина — эксплойт оракула (сервиса, который поставляет протоколу внешние ценовые данные), который затронул хранилище ликвидности OLP (Ostium Liquidity Provider). Об инциденте независимо сообщили компании по безопасности Blockaid и CertiK: по их оценкам, из хранилища вывели от $18 млн до $22 млн (на 15 июля 2026 года).
Детали
По разбору Blockaid, атакующий получил доступ к подписывающему ключу оракула и через зарегистрированный форвардер PriceUpKeep — компонент, который может сам исполнять ордера, — передавал в протокол «датированные будущим» ценовые отчёты с искажёнными котировками. На эти фиктивные цены атакующий открывал и тут же закрывал сделки, каждый раз фиксируя прибыль до 900% на круг; цикл повторили около 10 раз, пока хранилище не опустело почти на треть.
До инцидента TVL Ostium оценивался примерно в $63 млн (CoinDesk). Команда проекта подтвердила проблему и опубликовала рекомендацию: «мы советуем всем пользователям временно отозвать approvals для наших контрактов, пока мы расследуем произошедшее» (Cointelegraph). Точную сумму потерь и причину компрометации ключа Ostium пока не подтвердила — оценки $18 млн и $22 млн независимы и могут измениться после завершения расследования.
Что это значит
Риск здесь не в том, что кто-то торговал с плечом на Ostium, а в том, что у протокола осталось разрешение (approval) распоряжаться токенами в кошельке. Пока approval активен, скомпрометированный или неаккуратно написанный контракт технически может списать средства без нового подтверждения — именно поэтому команда и советует отозвать approvals, а не просто вывести баланс.
Кого касается: в первую очередь LP-провайдеров хранилища OLP (их доля в пуле уменьшилась из-за вывода) и активных трейдеров Ostium — торги для них закрыты до окончания разбирательства. Более широко это касается любого, кто хоть раз одобрял (approve) контракт Ostium со своего кошелька, даже если давно не заходил в приложение.
Риск и цифра: под вопросом до трети TVL протокола — $18–22 млн из примерно $63 млн, по текущим (неподтверждённым официально) оценкам двух разных фирм.
Горизонт: торги остаются на паузе, пока команда не завершит расследование причины компрометации ключа оракула; отдельного дедлайна возобновления Ostium пока не называла — следующим сигналом станет официальный пост с итогами разбора инцидента.
