Sàn DEX Ostium trên Arbitrum bị tấn công oracle, mất gần 18 triệu USD

Ostium mất gần 18 triệu USDC vì lỗ hổng oracle

Nền tảng giao dịch hợp đồng vĩnh cửu tài sản thực (RWA) Ostium xây dựng trên Arbitrum đã trở thành nạn nhân của một vụ tấn công nghiêm trọng vào ngày 15/7/2026, với thiệt hại ước tính lên tới gần 18 triệu USDC bị rút ra khỏi vault thanh khoản chính.

Cơ chế tấn công: Chiếm khóa oracle, giả mạo giá

Theo điều tra ban đầu, nguyên nhân gốc rễ là khóa riêng tư của oracle signer bị xâm phạm. Với khóa này trong tay, kẻ tấn công có khả năng vượt qua các bước xác minh của giao thức và tự ý nộp các báo cáo giá oracle có thời hạn trong tương lai theo hướng có lợi cho mình.

Kẻ tấn công lợi dụng một PriceUpKeep forwarder đã được đăng ký hợp lệ để thực hiện khoảng 20 vòng giao dịch lặp liên tiếp thông qua cơ chế delegated actions — mở và đóng lệnh liên tục để thu lợi nhuận nhân tạo mà không cần chịu rủi ro thị trường thực sự. Toàn bộ khoản lợi nhuận này được trả trực tiếp từ vault của giao thức.

Quy mô thiệt hại

Công ty bảo mật Blockaid là đơn vị đầu tiên gắn cờ cảnh báo sự cố này. Dữ liệu on-chain cho thấy khoảng 11,86 triệu đến 18 triệu USDC đã bị rút ra, tương đương 32–35% TVL của vault tại thời điểm tấn công (ước tính khoảng 34 triệu USD). Giao dịch khai thác chính có thể xác minh công khai trên Arbiscan.

Ostium là một trong những sàn DEX hợp đồng vĩnh cửu phi tập trung hàng đầu tập trung vào tài sản thực, bao gồm cổ phiếu, hàng hóa, ngoại hối và các chỉ số tài chính.

Nhà đầu tư lớn, tổn thất nặng nề

Trước vụ việc, Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư tổ chức hàng đầu như General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute và GSR. Dù được hậu thuẫn mạnh về tài chính và đã trải qua nhiều vòng kiểm toán bảo mật, giao thức vẫn không tránh khỏi lỗ hổng liên quan đến quản lý khóa oracle.

Vụ tấn công cho thấy rủi ro dai dẳng trong hạ tầng RWA phụ thuộc vào oracle: ngay cả các dự án được tài trợ tốt và kiểm toán kỹ lưỡng vẫn có thể dễ bị tổn thương trước các cuộc tấn công chiếm đoạt khóa riêng tư.

Phản ứng và khuyến cáo

Vụ việc hiện đang được điều tra tích cực. Người dùng được khuyến cáo theo dõi các kênh thông tin chính thức của Ostium để cập nhật hướng dẫn rút tiền và các bản vá bảo mật.

Sự cố này nhấn mạnh sự cần thiết phải tăng cường quản lý khóa oracle và triển khai hệ thống giám sát theo thời gian thực trong các giao thức DeFi lai. Theo giới phân tích bảo mật, khi lĩnh vực RWA perpetuals tiếp tục tăng trưởng mạnh, các nền tảng tương tự có thể sẽ phải đối mặt với sự giám sát chặt chẽ hơn trong thời gian tới.