Ostium: 23.75 millones de dólares. No se trata de un error en el contrato inteligente, sino de una infracción en la clave utilizada para la transacción. Además, implica un riesgo estructural importante.

La explotación del Ostium no es lo que parece a primera vista.

El 15 de julio, una sola dirección se agotó.23.75 millones de USDC provenientes del cofre de liquidez OLP de Ostium.Se convirtieron los ingresos en 12,085 ETH. El número principal es lo sencillo. La pregunta es: ¿cómo ocurrió esto? ¿Se trata de una brecha aislada, o de una vulnerabilidad estructural que afecta a toda una clase de protocolos DeFi?

Descomponemos ese mecanismo, y la respuesta cambia.

El mecanismo

No se trató de un fallo en la auditoría del contrato inteligente. No hubo errores relacionados con la reentrada de datos, ni desbordamiento de números enteros. Tampoco hubo ataques relacionados con el uso de fondos en un grupo de liquidez concentrado. El atacante logró comprometer una clave de firma de oráculos: esa credencial criptográfica que autoriza la envío de datos de precios al protocolo. Además, utilizó la infraestructura de informes de precios propia de Ostium para llevar a cabo sus planes de ataque.

El atacante envió su información.Informes de precios falsos para fechas futuras.En el mercado de Bitcoin, un…El precio de 5,000 BTC fue manipulado para que entrara en el sistema.El precio de mercado real era casi cuatro veces mayor que ese valor falso. Al aceptar esa mentira, el protocolo no tenía forma de distinguir los datos falsos de los datos legítimos. El atacante luego operó en contra del precio manipulado, obteniendo así ganancias sintéticas y eliminando USDC del cofre.

Empresas de seguridadTanto Blockaid como CertiK informaron sobre esta vulnerabilidad.En el mismo día. Blockaid identificó específicamente…Manipulación de los informes del oráculo de mantenimiento del precio del Ostium.Las operaciones de comercio se detuvieron en cuestión de horas.

Pero la cifra de 23.75 millones de dólares necesita ser analizada de nuevo. Varias fuentes informan sobre este tema.La pérdida neta de Ostium fue de aproximadamente 18 millones de dólares en moneda estadounidense.La diferencia entre los $23.75 millones obtenidos y los aproximadamente $18 millones perdidos nos dice algo sobre el funcionamiento interno del cofre de seguridad. Se puede concluir que el protocolo absorbió alrededor de $5.75 millones debido a las posiciones de contraparte o a las márgenes utilizadas para compensar esa pérdida. No es una situación muy tranquilizadora, pero es importante para comprender la realidad de la salida de capital.

El problema estructural

El ostium funciona como un conducto por el cual…Sistema de oráculos para activos del mundo real, basado en la fuerza de atracción. Construido en colaboración con Stork Labs.Se complementa con los Streams de Datos de Chainlink, que sirven como fuentes de información sobre los precios de las criptomonedas. Desde el punto de vista técnico, el diseño parece descentralizado. Pero la clave de firma –que en realidad es quien determina la verdad sobre los precios– representa un punto de fallo en el sistema.

Esto es importante, porque la capa de oráculo es el punto donde se encuentra la “goma” con el “camino”. El contrato inteligente ejecuta las transacciones basándose en el precio que recibe. Si el precio es incorrecto, el contrato simplemente realiza operaciones sin sentido. Se puede auditar la lógica de las transacciones para eliminar cualquier defecto, pero si el oráculo proporciona información falsa, los cálculos matemáticos seguirán produciendo resultados inútiles.

El valor total bloqueado del protocolo, es decir, la cantidad total de capital depositada en el mismo, disminuyó.De 32.7 millones a 9 millones de dólares en una sola noche.Eso representa una disminución del 72%. Un protocolo que alcanzó su punto máximo en términos de TVL…53.6 millones de dólares más adelante en el año 2025, tras una exitosa campaña de reclutamiento.Un programa de incentivos para los usuarios que permitió que los depósitos se incrementaran diez veces… Ahora, ese capital ya no representa más que una tercera parte de lo que había inicialmente.

El Patrón

Esto no es un evento aislado. Los ataques contra Oracle son el principal vector de explotación en el ámbito DeFi durante el año 2026. El mismo trimestre en el que se aprovechó la vulnerabilidad de Ostium también incluye…El Protocolo Drift ha gastado 285 millones de dólares.El mayor ataque ciberdelictivo del año hasta ahora. Este ataque se llevó a cabo mediante el control de la gobernanza de las plataformas financieras, lo que permitió la manipulación de los precios de los activos.

Poner esos dos números uno al lado del otro: 285 millones de dólares en el caso de Drift, debido a los compromisos en la gobernanza; 23.75 millones de dólares en el caso de Ostium, debido al compromiso con la clave del oráculo. Puntos de entrada diferentes. La misma debilidad estructural. El protocolo confía en un oráculo para determinar cuánto valen los activos. Si esa cadena de confianza se rompe en el nivel de la clave, el resto de la arquitectura pierde su importancia.

En el año 2026 ocurrieron varias cosas importantes.Se han reportado 207 incidentes de hackeo criptográfico durante la primera mitad del año.La cantidad de registros de ataques sigue aumentando… Aunque las pérdidas totales descendieron a 972 millones de dólares, lo cual representa una disminución en comparación con el año anterior, según los datos de TRM Labs. La superficie de ataque sigue ampliándose, aunque los incidentes individuales son cada vez más pequeños. Eso indica que el problema no está mejorando; simplemente se está fragmentando.

El flujo de capital

Siga el rastro del dinero después del ataque. El atacante transfirió 23.75 millones de USDC a Arbitrum y los cambió por 12,085 ETH. La tasa de cambio implícita es de aproximadamente 1,965 dólares por ETH; esta cifra está en línea con los precios del mercado a mediados de julio de 2026. La conversión a ETH se realiza de forma convencional: el ETH es el activo más líquido en las bolsas descentralizadas. Es muy fácil manipularlo mediante los agregadores, pero resulta difícil rastrearlo una vez que cruza hacia los fondos de liquidez mixta.

Lo que aún no sabemos es a dónde fueron esos 12,085 ETH. No se ha confirmado ningún depósito en ninguna billetera de intercambio, ni ninguna transacción con Tornado Cash. Además, no se ha confirmado ninguna retirada de los fondos desde ninguna plataforma de criptomonedas. Los fondos permanecen en la fase posterior al intercambio de tokens. Es posible que el atacante no haya movido los fondos a ningún otro lugar, o que esté utilizando un método de lavado más lento y menos detectable.

Qué ver a continuación

• Recuperación de la clave de firmaOLP ha confirmado el problema con la base de datos de su tesoro y ha suspendido todas las operaciones de comercio. Depende de si la clave comprometida se rotará, si el atacante conserva la capacidad de firmar los datos, y si el protocolo puede restaurar la confianza en sus datos de precios, sin tener que reconstruir la arquitectura del oráculo desde cero. Estos factores determinarán si Ostium podrá seguir funcionando como un protocolo viable.

• La conciliación de las pérdidas de 18 millones de dólaresLa diferencia entre los 23.75 millones de dólares obtenidos y las pérdidas netas de aproximadamente 18 millones de dólares requiere una explicación detallada. ¿Fue ese monto compensado con los márgenes de la contraparte? ¿O con fondos provenientes de seguros? ¿O con fondos provenientes de posiciones que fueron liquidadas por el propio atacante? La estructura de esa diferencia de 5.75 millones de dólares nos indica si el modelo de riesgo del protocolo logró detectar el ataque en medio de su ejecución, o si simplemente los cálculos matemáticos arrojaron ese resultado.

• Auditorías más amplias relacionadas con las claves de OracleSi la clave de autenticación de Ostium se vio comprometida debido a una brecha en la infraestructura, al phishing o a una mala gestión de las claves, entonces todos los demás protocolos que utilizan el mismo proveedor de claves también estarán expuestos a esa misma vulnerabilidad. La cuestión es si las detecciones realizadas por Blockaid y CertiK fueron específicas para Ostium, o si se trata de una alerta de monitoreo general.

• El rastro de ETH12,085 ETH es una cantidad considerable y fácil de rastrear. Si ese dinero llega a una exchange centralizada, el equipo de cumplimiento de dicha exchange tendrá la obligación de congelarlo e informar al respecto. Pero si el dinero se transfiere a través de DEX o puentes cruzados entre cadenas, eso indica que el atacante tiene paciencia o controle suficiente para llevar a cabo su plan. En ambos casos, el siguiente movimiento será el indicio necesario para determinar qué hacer.

La explotación del Ostium representa una inversión de 23.75 millones de dólares. Esto demuestra que, en el mundo de DeFi, los contratos inteligentes no son el punto débil; el orador sí lo es.