Ostium, una piattaforma di trading di asset del mondo reale (RWA) basata su Arbitrum, ha subito una significativa violazione della sicurezza il 15 luglio 2026, con conseguente furto di circa 23,75 milioni di USDC dal suo vault pubblico di liquidity provider (OLP).

L'attacco ha preso di mira l'infrastruttura di prezzi off-chain del protocollo anziché i suoi smart contract on-chain o i sistemi di governance, sottolineando la continua esposizione delle piattaforme di finanza decentralizzata a vulnerabilità nei componenti IT tradizionali. Le compromissioni di oracle e feed di prezzi si sono ripresentate come classe di attacco nel panorama DeFi, con incidenti come l'exploit di Mango Markets e la violazione del bridge BonqDAO che illustrano come dati di prezzo manipolati o inaccessibili possano innescare perdite significative a cascata, anche quando gli smart contract sottostanti funzionano come previsto.

Secondo un report di incidente pubblicato da Ostium su X, gli attaccanti hanno sfruttato il sistema di regolamento dei prezzi basato su pull della piattaforma, che dipende da fonti di dati off-chain per produrre report di prezzo firmati per mercati tra cui BTC-USD. Dopo aver ottenuto accesso non autorizzato a questa infrastruttura, gli attaccanti hanno inviato report di prezzo falsificati che indicavano il Bitcoin scambiato a $5.000 e $60.000 — livelli ben lontani dai tassi di mercato reali.

Tra le 14:18 e le 14:23 UTC, gli attaccanti hanno eseguito otto rapidi scambi di apertura e chiusura utilizzando percorsi di inoltro legittimi già riconosciuti dal protocollo. Aprendo posizioni a un prezzo manipolato e chiudendole a un altro all'interno di transazioni atomiche, hanno generato calcoli artificiali di utili e perdite che hanno costretto il vault OLP a erogare quasi 24 milioni di USDC in profitti illeciti.

Ostium ha sottolineato che la violazione non ha avuto origine da difetti nella logica degli smart contract o da multi-firme di governance compromesse. Il collateral dei trader è rimasto al sicuro all'interno dei contratti di trading per tutta la durata dell'incidente, e nessun'altra posizione utente è stata regolata utilizzando i prezzi manipolati.

— Ostium (@Ostium) July 29, 2026

Contenimento On-Chain Rapido e Migrazione verso un'Infrastruttura Rinforzata

I sistemi di monitoraggio automatico hanno rilevato l'attività anomala nel giro di pochi minuti, attivando gli interruttori di circuito del vault che hanno bloccato ulteriori prelievi. Il team di Ostium ha eseguito la sua prima transazione di contenimento on-chain alle 14:55 UTC e ha congelato tutti i contratti di trading entro 20 minuti dalla transazione di test iniziale.

In seguito alla violazione, Ostium è migrata verso un nuovo ambiente di produzione che incorpora controlli di approvazione multi-parte migliorati e ha ripreso le operazioni di trading il 23 luglio 2026.

Gli USDC rubati sono stati convertiti in ETH e distribuiti attraverso una rete di wallet controllati dagli attaccanti, con una porzione sostanziale instradata attraverso Tornado Cash, un protocollo di privacy sanzionato dall'Office of Foreign Assets Control (OFAC) del Dipartimento del Tesoro degli Stati Uniti dall'agosto 2022, che complica le attività di tracciamento e recupero dei fondi, nonché il potenziale congelamento lato exchange degli asset riciclati.

Ostium ha ingaggiato le società di cybersicurezza Mandiant e SEAL 911, insieme agli specialisti di blockchain intelligence zeroShadow e Collisionless, per condurre indagini forensi e tracciare i fondi appropriati illecitamente. L'azienda sta coordinandosi attivamente con le forze dell'ordine, gli exchange di criptovalute e i bridge cross-chain per congelare gli asset ove possibile. Ostium ha dichiarato di prevedere la pubblicazione di un piano di recupero per i liquidity provider interessati nei prossimi giorni.