Ostium : 23,75 millions d’euros. Il s’agit pas d’un problème lié aux contrats intelligents, mais plutôt d’une violation des clés d’un oracle. Ce problème représente également un risque structurel important.

L’exploitation de l’Ostium n’est pas ce qu’elle semble être en apparence.

Le 15 juillet, une seule déclaration a été faite.23,75 millions de dollars américains provenant du coffre de liquidités OLP d’Ostium.Il a ensuite converti les bénéfices en 12 085 ETH. Le chiffre principal est la partie facile. La question est de savoir comment cela s’est produit, et si il s’agit d’une brèche isolée ou d’une vulnérabilité structurelle qui concerne toute une classe de protocoles DeFi.

Décomposez le mécanisme en question, et la réponse changera.

Le mécanisme

Ce n’était pas une faille dans la vérification des contrats intelligents. Il n’y avait pas de problèmes liés à la réentrée des données, ni d’excès de puissance des nombres entiers. De plus, l’attaquant n’a pas utilisé l’infrastructure de reporting de prix de Ostium pour exploiter cette faille. L’attaquant a plutôt compromis la clé de signature de l’oracle – c’est-à-dire la clé cryptographique qui autorise la soumission des données de prix au protocole – et a utilisé cette clé pour exploiter les systèmes de rapport de prix de Ostium.

L’attaquant a soumis…Faux rapports de prix pour des dates futuresSur le marché du Bitcoin, il y a…La valeur de 5 000 BTC a été créée de toutes pièces et insérée dans un système.Le prix de marché réel était presque quatre fois supérieur à celui indiqué par l’oracle. Avec la signature de l’oracle approuvant cette fausseté, le protocole ne pouvait pas distinguer les données falsifiées des données véridiques. L’attaquant a donc pu trader en fonction de ces prix manipulés, en générant des bénéfices artificiels et en épuisant les USDC stockés dans le dépôt.

Sociétés de sécuritéTant Blockaid que CertiK ont signalé cette vulnérabilité.Le même jour. Blockaid a spécifiquement identifié…Manipulation des rapports de l’oracle chargé de la gestion des prix liés à l’Ostium.Les transactions ont été suspendues en l’espace de quelques heures.

Mais le chiffre de 23,75 millions de dollars nécessite une autre décomposition. De nombreuses sources rapportent…La perte nette de Ostium s’élève à environ 18 millions de dollars en devises américaines.L’écart entre les 23,75 millions de dollars obtenus et les environ 18 millions de dollars perdus nous révèle quelque chose au sujet des mécanismes internes du dépôt de fonds. Le protocole a absorbé environ 5,75 millions de dollars grâce aux positions ou aux marges qui ont compensé cette perte. Ce n’est pas très rassurant, mais cela aide à comprendre l’ampleur réelle des sorties de capitaux.

Le problème structurel

L’ostium fonctionne comme un conduit.Système d’oracles pour les actifs réels, basé sur le principe de traction. Conçu en partenariat avec Stork Labs.Ce système est complété par des flux de données de Chainlink, qui fournissent des informations sur les prix des crypto-monnaies. Sur le papier, ce système semble décentralisé. Mais la clé de signature – qui est en réalité le véritable gardien de la vérité concernant les prix – constitue un point faible du système.

Cela est important, car c’est là que se trouve le point de rencontre entre le système oracle et les protocoles DEX perpétuels. Le contrat intelligent exécute les transactions en fonction du prix reçu. Si ce prix est incorrect, le contrat effectue des transactions invalides. On peut vérifier la logique de ces transactions pour s’assurer qu’il n’y a aucun défaut. Mais si l’oracle fournit des informations erronées, les calculs restent valables, ce qui permet encore une exploitation possible.

La valeur totale verrouillée par l’ostium a chuté, soit le montant total de capital déposé dans le protocole.De 32,7 millions de dollars à 9 millions de dollars en une nuit.C’est une baisse de 72 %. Un protocole qui a atteint son niveau maximal en termes de TVL…53,6 millions de dollars plus tôt en 2025, suite à une campagne de promotion réussie.Ce programme d’incitation pour les utilisateurs, qui avait permis de multiplier les dépôts par dix, ne dispose désormais plus que de moins d’un tiers de ce capital initial.

Le modèle

Ce n’est pas un événement isolé. Les attaques contre les systèmes d’Oracle constituent le principal vecteur d’exploitation dans le monde des solutions financières décentralisées pour l’année 2026. Le même trimestre où Ostium a été exploité, c’est aussi le moment où…Le Drift Protocol a généré un déficit de 285 millions de dollars.Le plus grand piratage DeFi de l’année jusqu’à présent… Ce piratage a été réalisé par le biais de la prise en charge des contrôles décisionnels, ce qui a permis de manipuler les prix des actifs financiers.

Placentons ces deux chiffres côte à côte : 285 millions de dollars pour Drift, en raison de compromis dans la gestion des données ; 23,75 millions de dollars pour Ostium, en raison de compromis liés aux clés utilisées par l’oracle. Des points d’entrée différents… Mais une faiblesse structurelle identique. Le protocole fait confiance à un oracle pour déterminer la valeur des actifs concernés. Si cette chaîne de confiance est brisée au niveau des clés, le reste de l’architecture devient sans importance.

En 2026, on a vu que…207 incidents de piratage informatique ont été signalés au cours de la première moitié de l’année.Le nombre de victimes est resté stable : bien que les pertes totales soient tombées à 972 millions de dollars, ce chiffre est inférieur à celui de l’année précédente, selon TRM Labs. La surface d’attaque s’agrandit, même si les incidents individuels deviennent de moins en moins importants. Cela montre que le problème ne s’améliore pas ; au contraire, il se aggrave.

Le flux de capitaux

Suivez le montant transféré après l’attaque. L’attaquant a transféré 23,75 millions de USDC vers Arbitrum, et les a échangés contre 12 085 ETH. Le taux de change utilisé est d’environ 1 965 USD par ETH – ce qui correspond aux prix du marché à la mi-juillet 2026. La conversion en ETH est une méthode standard : l’ETH est l’actif le plus liquide sur les exchanges décentralisés. Il est également le plus facile à transférer via les services d’agrégation, mais il est très difficile à tracer une fois qu’il entre dans des puits de liquidité mixte.

Ce que nous ne savons pas encore, c’est où ces 12 085 ETH se trouvent désormais. Aucun dépôt via une bourse n’a été effectué, aucune interaction avec Tornado Cash n’a eu lieu, et aucun retrait depuis une plateforme de trading n’a été confirmé dans les rapports disponibles. Les fonds restent donc en phase post-échange : l’attaqueur ne les a peut-être pas transférés ailleurs, ou il utilise un moyen de blanchiment moins visible.

Quel programme suivre ?

• Récupération de la clé de signatureOLP a confirmé l’annulation de la transaction liée à la trésorerie, et a suspendu toutes les transactions. Il reste à déterminer si la clé compromise est renouvelée régulièrement, si l’attaquant conserve le pouvoir de signer les transactions, et si le protocole peut rétablir la confiance dans ses données de prix, sans devoir reconstruire l’architecture de l’oracle depuis le début. Ces éléments déterminent si Ostium peut continuer à fonctionner comme un protocole fonctionnel.

• La régularisation des pertes de 18 millions de dollarsL’écart entre les 23,75 millions de dollars récupérés et les environ 18 millions de dollars de pertes nettes nécessite une explication détaillée. Est-ce que cette différence provient des marges bénéficiaires de la part de la contrepartie ? Ou bien d’assurances ? Ou encore de positions qui ont été liquidées par les propres transactions de l’attaquant ? La structure de cette différence de 5,75 millions de dollars indique si le modèle de risque du protocole a réussi à détecter l’attaque au milieu de son exécution, ou si les calculs mathématiques ont simplement conduit à ce résultat.

• Audit de clés d’oracle plus largesSi la clé de signature d’Ostium est compromise en raison d’une violation de l’infrastructure, de phishing ou de mauvaise gestion des clés, alors tous les autres protocolls qui utilisent le même fournisseur d’oracles ou la même infrastructure de clés sont également exposés à cette vulnérabilité. La question est de savoir si les détecteurs mis en place par Blockaid et CertiK étaient spécifiques à Ostium, ou s’ils faisaient partie d’une alerte de surveillance plus large.

• Le trace ETH12 085 ETH est une somme importante et identifiable. Si ces fonds atteignent une bourse centralisée, l’équipe de contrôle de cette bourse est obligée de les geler et de les signaler. Si les fonds passent par des agrégateurs deDEX ou des ponts entre chaînes de blocs, cela signifie que l’attaqueur montre soit de la patience, soit de grande habileté. Dans tous les cas, le prochain mouvement sera un signal important.

L’opération Ostium représente une dépense de 23,75 millions de dollars. Cela montre que, dans le monde du DeFi, le contrat intelligent n’est pas le point faible. L’oracle, en revanche, l’est bel et bien.