Ostium: 23,75 Mio. – Ein Problem mit dem Smart Contract, keine Fehler im Smart Contract selbst, sondern ein Angriff auf die Schlüsselinformationen des Smart Contracts. Zudem birgt dieses Problem strukturelle Risiken.

Die „Ostium-Exploitation“ ist nicht das, was sie auf den ersten Blick zu sein scheint.

Am 15. Juli wurde eine einzige Adresse abgelehnt.23,75 Millionen USDC aus dem Liquiditätsdepot von Ostiums OLPDie Einnahmen wurden in 12.085 ETH umgewandelt. Die Zahlen sind zwar interessant, aber die Frage ist: Wie wurde das geschafft – und ob es sich dabei um eine einzelne Sicherheitslücke handelt oder um eine strukturelle Schwäche, die auf eine ganze Klasse von DeFi-Protokollen zutrifft.

Lassen Sie den Mechanismus auflösen – dann ändert sich die Antwort.

Das Mechanismus

Es handelte sich dabei nicht um ein Versagen bei der Überprüfung des Smart Contracts. Es gab keine Reentrant-Fehler, keine Integer-Overflows, und es gab auch keinen Angriff auf das konzentrierte Liquiditätspool durch den Angreifer. Der Angreifer hatte die Signierungsschlüssel des Oracles kompromittiert – also die kryptografischen Schlüssel, die es ermöglichen, Preisdaten an das Protokoll zu senden – und nutzte anschließend Ostiums eigene Infrastruktur zur Übermittlung von Preisdaten.

Der Angreifer hat seine Daten übermittelt.Falsche Preisberichte für zukünftige TermineAuf dem Bitcoin-Markt gibt es…Der von Menschen erstellte Preis von 5.000 BTC wurde in das System eingespeist.Der tatsächliche Marktpreis lag dabei fast viermal höher. Da das „Oracle“ die Lüge bestätigte, hatte das Protokoll keine Möglichkeit, zwischen gefälschten Daten und echten Daten zu unterscheiden. Der Angreifer konnte somit gegen den manipulierten Preis handeln, wodurch er synthetische Gewinne erzielte und USDC aus dem Tresor leerte.

SicherheitsfirmenSowohl Blockaid als auch CertiK haben diese Sicherheitslücke angezeigt.Am selben Tag. Blockaid hat genau festgelegt…Manipulation der Berichte des „Ostium’s PriceUpKeep-Oracles“Der Handel wurde innerhalb weniger Stunden ausgesetzt.

Aber die Zahl von 23,75 Millionen Dollar muss noch weiter aufgeteilt werden. Mehrere Quellen berichten darüber.Die Nettoverluste betrugen etwa 18 Millionen US-Dollar in USDC.Der Unterschied zwischen den 23,75 Millionen Dollar, die entnommen wurden, und den etwa 18 Millionen Dollar, die verloren gingen, verrät uns etwas über die internen Mechanismen des Tresors. Das Protokoll hat insgesamt etwa 5,75 Millionen Dollar durch Komplementärspositionen oder Margen abgezogen – das ausgleicht den Verlust. Das ist nicht sehr beruhigend, aber es hilft uns dabei, die tatsächlichen Ausfälle an Kapital zu verstehen.

Das Strukturelle Problem

Das Ostium läuft weiter.Ein RWA-Oracle-System, das auf Zugriffen basiert und in Zusammenarbeit mit Stork Labs entwickelt wurde.Dies wird durch die Chainlink-Data-Streams zur Übermittlung von Krypto-Währungspreisen ergänzt. Auf dem Papier scheint das System zentralisiert zu sein. Doch der Signaturschlüssel – der eigentliche „Wächter“ der Wahrheit bezüglich der Preise – stellt ein einzelnes Ausfallpotenzial dar.

Das ist wichtig, denn die Oracle-Schicht ist der „Punkt des Übergangs“ für Protokolle, die in einer perpetuellen DeFi-Szene eingesetzt werden. Der Smart Contract führt die Transaktionen basierend auf dem erhaltenen Preis aus. Wenn der Preis falsch ist, dann führt der Contract weiterhin Fehler aus. Man kann die Logik der Transaktionen überprüfen, um eventuelle Mängel zu beseitigen. Doch wenn das Oracle-System falsche Informationen bereitstellt, dann wird die Berechnung weiterhin zu einem Missbrauch führen.

Das TVL des Ostiums – also der Gesamtwert der eingezahlten Kapitalien im Protokoll – fiel von…Von 32,7 Millionen auf 9 Millionen Dollar in nur einer Nacht.Das ist eine Abnahme von 72 Prozent. Ein Protokoll, das seinen Höchstwert bei der TVL erreicht hat…53,6 Millionen im Jahr 2025 – nach einer erfolgreichen Kampagne zur Steigerung der Punktzahl.Das Programm, das dazu beitrug, die Einlagen um das Zehnfache zu erhöhen, hat nun weniger als ein Drittel dieses Kapitals noch vor sich.

Das Muster

Das ist kein isolierter Vorfall. Angriffe auf Oracle sind im Jahr 2026 die dominierende Bedrohung in der Welt von DeFi. Im selben Quartal, in dem Ostium angegriffen wurde, gab es auch andere Fälle solcher Angriffe.Das Drift-Protokoll führt zu einem Verlust von 285 Millionen Dollar.Der größte DeFi-Hack des Jahres bisher – dieser Hack erfolgte durch die Beschlagnahme der Kontrolle über das System. Dadurch konnte die Preisgestaltung manipuliert werden.

Stellen wir diese beiden Zahlen nebeneinander: 285 Millionen bei Drift through Governance Compromise, 23,75 Millionen bei Ostium durch den Verlust der Oracle-Schlüssel. Unterschiedliche Eingangspunkte. Gleichbleibende strukturelle Schwächen. Das Protokoll vertraut darauf, dass ein Oracle ihm sagt, welche Vermögenswerte wertvoll sind. Wenn dieser Vertrauenspfad auf der Ebene der Schlüssel zerstört wird, dann ist der Rest der Architektur unwichtig.

Im Jahr 2026 wurde…In der ersten Hälfte des Jahres wurden 207 Fallen von Cyberangriffen gemeldet.Die Gesamtzahl der Schäden ist zwar gesunken – auf 972 Millionen US-Dollar, was im Vergleich zum Vorjahr eine Reduzierung darstellt, wie TRM Labs berichtet. Doch die Anzahl der Einzelschäden nimmt weiterhin zu. Das zeigt, dass das Problem nicht besser wird, sondern eher noch schlimmer wird.

Der Kapitalfluss

Folgen Sie dem Geld nach dem Angriff. Der Angreifer hat 23,75 Millionen USDC auf Arbitrum umgetauscht und diese in 12.085 ETH umgewandelt. Die damit verbundene Wechselkursverhältnisse liegen bei etwa 1.965 USD pro ETH – das entspricht den Marktpreisen von Mitte Juli 2026. Die Umwandlung in ETH erfolgt auf eine Standardmethode: ETH ist das flüssigste Vermögen auf dezentralisierten Börsen. Es ist außerdem am einfachsten, dieses Vermögen durch Aggregatoren zu verarbeiten – doch nachdem es in gemischte Liquiditätspools übergeht, ist es schwer zu verfolgen.

Was wir bisher nicht wissen, ist, wohin die 12.085 ETH anschließend gegangen sind. Es gibt keine Bestätigungen dafür, dass die Beträge in irgendeine andere Kryptowährung umgewandelt wurden, oder dass sie aus dem Tornado-Cash-System abgehoben wurden. Die Mittel befinden sich offenbar noch in der Phase nach dem Swappen – entweder hat der Angreifer die Mittel nicht weiter verwendet, oder er nutzt einen langsamen und weniger nachweisbaren Weg zur Verfälschung der Mittel.

Was als Nächstes zu sehen ist…

• Wiederherstellung der Signatur-KeyOstium hat die Angelegenheit bezüglich des Treuhandfonds der OLP bestätigt und alle Handelsaktivitäten ausgesetzt. Ob die kompromittierte Schlüsselwörter regelmäßig geändert werden, ob der Angreifer weiterhin die Möglichkeit hat, Signaturen zu erstellen, und ob das Protokoll in der Lage ist, das Vertrauen in seine Preisdaten wiederherzustellen – ohne dass die Oracle-Architektur von vorne aufgebaut werden muss – all diese Faktoren entscheiden darüber, ob Ostium als funktionierendes Protokoll überleben kann.

• Die Abrechnung der 18-Millionen-Dollar-VerlusteDer Unterschied zwischen den 23,75 Millionen Dollar, die erhalten wurden, und den etwa 18 Millionen Dollar Verlusten, sollte offengelegt werden. Handelte es sich dabei um eine Entschädigung für die Risiken der Gegenpartei? Oder um Beträge, die aus Versicherungsverträgen stammten? Oder waren es Beträge, die aus Positionen stammten, die vom Angreifer selbst liquidiert wurden? Die Struktur dieser 5,75 Millionen Dollar zeigt an, ob das Risikomodell des Protokolls den Angriff bereits in der Ausführungsphase erkannt hat – oder ob die Mathematik einfach so zusammengekommen ist.

• Weitere Überprüfungen der Oracle-SchlüsselWenn die Signatur des Ostium-Keys durch eine Infrastrukturbreach, Phishing oder schlechte Key-Verwaltung kompromittiert wurde, dann leiden alle anderen Protokolle, die denselben Oracle-Anbieter oder dieselbe Key-Infrastruktur verwenden, ebenfalls unter dieser Schwäche. Die Frage ist also, ob die Erkennungsfunktionen von Blockaid und CertiK spezifisch für Ostium waren oder ob es sich um eine allgemeine Überwachungswarnung handelte.

• Der ETH-Trace12.085 ETH ist eine beträchtliche Summe, die nachverfolgt werden kann. Wenn diese Mittel an eine zentrale Börse gelangen, ist das Compliance-Team der Börse verpflichtet, sie zu beschlagnahmen und zu melden. Wenn die Mittel jedoch über DEX-Aggregatoren oder Cross-Chain-Brücken weitergeleitet werden, deutet das darauf hin, dass der Angreifer entweder Geduld oder viel Geschicklichkeit zeigt. In jedem Fall ist das nächste Handeln ein wichtiger Hinweis auf seine Absichten.

Die Durchführung des Projekts „Ostium“ kostet 23,75 Millionen US-Dollar. Das zeigt wieder einmal, dass im Bereich der DeFi-Technologie das Smart Contract nicht der schwache Punkt ist – vielmehr ist es die Oracle-Technologie, die entscheidend ist.