Arbitrumベースの現実世界資産（RWA）取引プラットフォームであるOstiumは、2026年7月15日に重大なセキュリティ侵害を受け、公開流動性プロバイダー（OLP）ボールトから約2375万USDCが盗まれた。

この攻撃は、プロトコルのオンチェーン・スマートコントラクトやガバナンスシステムではなく、オフチェーンの価格インフラを標的としたものであり、分散型金融プラットフォームが従来のITコンポーネントの脆弱性に引き続きさらされていることを浮き彫りにした。オラクルや価格フィードの侵害はDeFi全体で繰り返し発生する攻撃クラスとなっており、Mango MarketsのエクスプロイトやBonqDAOブリッジ侵害のような事例は、操作された、またはアクセス不能な価格データが、基盤となるスマートコントラクトが設計通りに機能していても重大な損失へと波及し得ることを示している。

OstiumがX上で公開したインシデント報告によると、攻撃者はプラットフォームのプルベース価格決済システムを悪用した。このシステムは、BTC-USDを含む市場の署名付き価格レポートを生成するためにオフチェーンのデータソースに依存している。このインフラへの不正アクセスを獲得した後、攻撃者はBitcoinが5,000ドルおよび60,000ドルで取引されていると示す偽造価格レポートを提出した。これらは実際の市場レートから大きく乖離した水準であった。

14:18から14:23 UTCの間、攻撃者はプロトコルが既に認識していた正規のフォワーダーパスを用いて、8件の迅速なオープン・クローズ取引を実行した。操作されたある価格でポジションを開き、アトミック取引内で別の価格で決済することにより、OLPボールトに不正な利益として約2400万USDCを支払わせる人工的な損益計算を生成した。

Ostiumは、この侵害がスマートコントラクトロジックの欠陥やガバナンスのマルチシグネチャーの侵害に起因するものではないことを強調した。インシデント全体を通じて、トレーダーの担保は取引コントラクト内で安全に保たれ、他のユーザーポジションは操作された価格で決済されることはなかった。

— Ostium (@Ostium) July 29, 2026

オンチェーンでの迅速な封じ込めと強化インフラへの移行

自動監視システムが数分以内に異常アクティビティを検知し、ボールトのサーキットブレーカーを作動させて追加の引き出しを阻止した。Ostiumチームは14:55 UTCに最初のオンチェーン封じ込めトランザクションを実行し、初期テストトランザクションから20分以内にすべての取引コントラクトを凍結した。

侵害後、Ostiumは強化されたマルチパーティ承認制御を組み込んだ新しい本番環境へ移行し、2026年7月23日に取引業務を再開した。

盗まれたUSDCはETHに変換され、攻撃者管理のウォレットネットワークに分散された。その大部分はTornado Cashを経由して送金された。Tornado Cashは2022年8月以降、米国財務省外国資産管理局（OFAC）の制裁措置を受けているプライバシープロトコルであり、資金追跡および回収の取り組み、ならびに取引所側での洗浄された資産の凍結の可能性を複雑化させている。

Ostiumは、フォレンジック調査および不正流用資金の追跡を実施するため、サイバーセキュリティ企業MandiantおよびSEAL 911と並んで、ブロックチェーンインテリジェンス専門企業zeroShadowおよびCollisionlessを雇用した。同社は、可能な限り資産を凍結するため、法執行機関、暗号資産取引所、クロスチェーンブリッジと積極的に協調している。Ostiumは、影響を受けた流動性プロバイダー向けの回収プランを数日以内に公開予定であると述べた。