Orakel-Exploit im OLP-Vault von Ostium

Am 15. Juli 2026 wurde Ostium — eine Perpetuals-Börse für reale Vermögenswerte auf Arbitrum — um etwa 18 Millionen US-Dollar erleichtert, nachdem ein Angreifer die Kontrolle über die Preisfeed-Infrastruktur des Protokolls übernommen und ihr gefälschte Orakelpreise zugespielt hatte, um gehebelte Trades beliebig zu öffnen und zu schließen.

Was geschah

Ostium erlaubt Tradern gehebelte Positionen auf reale Vermögenswerte wie Gold, Devisen und Aktienindizes, abgesichert durch einen USDC-Liquiditäts-Vault — den OLP-Vault —, der bei jedem Trade als Gegenpartei auftritt. Der Angreifer erlangte die Kontrolle über einen Orakel-Signaturschlüssel und missbrauchte einen registrierten PriceUpKeep-Forwarder, eine Komponente von Ostiums automatischer Preisübermittlung, um vordatierte, autorisierte Orakelberichte einzureichen, die die normale Verifizierung des Protokolls umgingen. In einer einzigen atomaren executeBatch-Transaktion führten sie über delegierte Aktionen rund 20 verschachtelte Trades aus: Eröffnung einer Position zum echten Marktpreis, dann Lieferung eines künstlich günstigen Preises über einen manipulierten performUpkeep-Aufruf und sofortiges Schließen der Position mit Gewinn. On-Chain-Trade-Events zeigten Positionen, die zu einem gelieferten Preis von 5.000 US-Dollar geöffnet und nahe 60.000 US-Dollar geschlossen wurden — eine unmögliche Verzwölffachung innerhalb einer Transaktion, was bestätigt, dass mindestens ein Preis auf Abruf erfunden wurde. Das Schleifen entnahm die Mittel direkt aus dem OLP-Vault, der vor dem Angriff rund 63 Millionen US-Dollar an Total Value Locked hielt — nahezu ein Drittel der Protokoll-Liquidität verschwand also in einem einzigen Block.

Konsequenzen

Die Sicherheitsfirma Blockaid meldete zuerst die abfließenden Transaktionen, CertiK und weitere On-Chain-Analysten bestätigten das Muster einer Orakel-Kompromittierung. Ostium pausierte binnen Minuten den gesamten Handel und begann mit der Untersuchung. Die gemeldeten Verlustschätzungen reichten von etwa 12 bis 18 Millionen US-Dollar, einige Tracker bezifferten den Abfluss aus dem Vault sogar auf bis zu 23,7 Millionen US-Dollar. Zum Zeitpunkt der Berichterstattung waren die Mittel nicht zurückerlangt. Ostium hatte vor dem Vorfall rund 27,8 Millionen US-Dollar eingesammelt und über 50 Milliarden US-Dollar an kumuliertem Volumen abgewickelt, was den Exploit zu einem schweren Schlag für einen der größeren RWA-Perpetuals-Handelsplätze auf Arbitrum machte.

Warum es wichtig ist

Ostium ist der jüngste Fall in der unerbittlichen Welle von Orakel- und Preisfeed-Angriffen auf Perpetuals-DEXs im Jahr 2026 — und die zweite getroffene Arbitrum-Perp-Plattform binnen zweier Tage, denn Cascade folgte einen Tag später. Die Mechanik gleicht fast exakt KiloEX, wo eine Zugriffskontroll-Lücke in einem MinimalForwarder es einem Angreifer erlaubte, beliebige signierte Preisupdates einzureichen und Positionen zu manipulierten Preisen zu öffnen und zu schließen, sowie der klassischen Mango-Markets-Manipulation. Er fällt zudem in denselben Monat wie der Bonzo-Lend-Orakel-Exploit und untermauert eine schlichte Lehre: Ein Perpetuals-Protokoll ist nur so vertrauenswürdig wie die Signaturschlüssel und Forwarder, die es mit Preisen versorgen. Ist der Orakelpfad selbst kompromittiert, rechnet jede nachgelagerte Risikoprüfung mit Zahlen, die der Angreifer gewählt hat.