Ostium, eine auf Arbitrum basierende Handelsplattform für Real-World Assets (RWA), erlitt am 15. Juli 2026 eine erhebliche Sicherheitsverletzung, bei der etwa 23,75 Millionen USDC aus seinem öffentlichen Liquiditätsanbieter-Tresor (OLP) gestohlen wurden.

Der Angriff richtete sich gegen die Off-Chain-Preisinfrastruktur des Protokolls und nicht gegen dessen On-Chain-Smart-Contracts- oder Governance-Systeme. Dies unterstreicht die fortbestehende Anfälligkeit dezentraler Finanzplattformen für Schwachstellen in traditionellen IT-Komponenten. Kompromittierungen von Orakeln und Preis-Feeds haben sich in DeFi als wiederkehrende Angriffsklasse erwiesen. Vorfälle wie der Mango-Markets-Exploit und die BonqDAO-Bridge-Verletzung zeigen, wie manipulierte oder unzugängliche Preisdaten zu massiven Verlusten führen können, selbst wenn die zugrunde liegenden Smart Contracts wie vorgesehen funktionieren.

Laut einem von Ostium auf X veröffentlichten Vorfallsbericht nutzten die Angreifer das Pull-basierte Preisausgleichssystem der Plattform aus, das auf Off-Chain-Datenquellen angewiesen ist, um signierte Preisberichte für Märkte einschließlich BTC-USD zu erstellen. Nachdem sie sich unbefugten Zugang zu dieser Infrastruktur verschafft hatten, reichten die Angreifer gefälschte Preisberichte ein, die Bitcoin-Kurse von 5.000 USD und 60.000 USD anzeigten – Werte, die weit von den tatsächlichen Marktpreisen entfernt waren.

Zwischen 14:18 und 14:23 UTC führten die Angreifer acht schnelle Öffnungs- und Schließungstrades über legitime Forwarder-Pfade aus, die vom Protokoll bereits anerkannt wurden. Indem sie Positionen zu einem manipulierten Preis öffneten und innerhalb atomarer Transaktionen zu einem anderen wieder schlossen, erzeugten sie künstliche Gewinn- und Verlustberechnungen, die den OLP-Tresor zur Auszahlung von fast 24 Millionen USDC an unrechtmäßigen Gewinnen zwangen.

Ostium betonte, dass die Verletzung nicht auf Fehler in der Smart-Contract-Logik oder kompromittierte Governance-Multisignaturen zurückzuführen war. Die Sicherheiten der Trader blieben während des gesamten Vorfalls in den Handelsverträgen geschützt, und keine anderen Nutzerpositionen wurden mit den manipulierten Preisen abgewickelt.

— Ostium (@Ostium) July 29, 2026

Schnelle On-Chain-Eindämmung und Migration zu gehärteter Infrastruktur

Automatisierte Überwachungssysteme erkannten die anomale Aktivität innerhalb von Minuten und aktivierten die Circuit-Breaker des Tresors, die weitere Abhebungen blockierten. Das Ostium-Team führte um 14:55 UTC seine erste On-Chain-Eindämmungstransaktion aus und frohr alle Handelsverträge innerhalb von 20 Minuten nach der ersten Testtransaktion ein.

Nach der Verletzung migrierte Ostium in eine neue Produktionsumgebung mit erweiterten Kontrollen für Mehrparteien-Genehmigungen und nahm den Handelsbetrieb am 23. Juli 2026 wieder auf.

Die gestohlenen USDC wurden in ETH umgewandelt und über ein Netzwerk von kontrollierten Wallets der Angreifer verteilt, wobei ein erheblicher Teil über Tornado Cash geleitet wurde – ein Datenschutzprotokoll, das seit August 2022 vom Office of Foreign Assets Control (OFAC) des US-Finanzministeriums sanktioniert ist. Dies erschwert die Rückverfolgung und Wiederbeschaffung der Gelder sowie das potenzielle Einfrieren der gewaschenen Vermögenswerte auf Seiten der Krypto-Börsen.

Ostium hat die Cybersecurity-Unternehmen Mandiant und SEAL 911 sowie die Blockchain-Intelligence-Spezialisten zeroShadow und Collisionless beauftragt, um forensische Untersuchungen durchzuführen und die missbräuchlich entwendeten Gelder zurückzuverfolgen. Das Unternehmen koordiniert sich aktiv mit Strafverfolgungsbehörden, Krypto-Börsen und Cross-Chain-Bridges, um Vermögenswerte wo immer möglich einzufrieren. Ostium erklärte, dass es in den kommenden Tagen einen Wiederherstellungsplan für betroffene Liquiditätsanbieter veröffentlichen werde.