Ostium, sur Arbitrum, victime d'une attaque d'oracle : 18 M$ en USDC dérobés

Selon CoinDesk, la plateforme décentralisée de trading de contrats perpétuels Ostium, déployée sur Arbitrum, a subi une attaque visant son oracle. Environ 18 millions de dollars en USDC ont été siphonnés du coffre de liquidité du protocole. La société de sécurité Blockaid indique que l'attaquant a fabriqué des rapports de prix pour générer de faux profits, puis a procédé au retrait des fonds. L'opération aurait reposé sur la compromission de la clé de signature : l'attaquant aurait pris le contrôle de la clé de signature de l'oracle et utilisé un relayer PriceUpKeep enregistré pour soumettre des rapports de prix antidatés/à date future avec des signatures autorisées, manipulant ainsi le système d'alimentation en prix d'Ostium. Le protocole aurait alors calculé et versé d'importants montants d'USDC au titre de positions bénéficiaires inexistantes. Ostium a déclaré sur X avoir détecté une anomalie dans la trésorerie OLP, avoir suspendu l'ensemble des opérations de trading et enquêter sur l'incident. Le protocole estime qu'environ un tiers de la liquidité est sorti. Ostium propose des contrats perpétuels adossés à des actifs du monde réel, notamment actions, matières premières, devises et indices. Au moment des faits, la valeur totale verrouillée (TVL) s'établissait à environ 63 millions de dollars, la perte de 18 millions de dollars représentant près d'un tiers de la liquidité. L'actif concerné est l'USDC émis par Circle. Les échanges restent suspendus depuis l'incident. Les incidents de sécurité dans la DeFi se multiplient. D'après le rapport, sur les cinq premiers mois de 2026, les protocoles DeFi ont enregistré plus de 840 millions de dollars de pertes liées à des vols. KelpDAO aurait perdu environ 292 millions de dollars et Drift Protocol près de 285 millions de dollars. En juin, Resolv Labs a également été attaqué, pour des pertes de plus de 25 millions de dollars. Certains chercheurs en sécurité estiment que les outils d'IA accélèrent la découverte de vulnérabilités. Des professionnels du secteur soulignent que les modèles actuels peuvent déjà auditer du code plus rapidement et repérer des failles potentielles. En mai, des chercheurs ont utilisé le modèle Claude Opus d'Anthropic pour mettre au jour une vulnérabilité de falsification vieille de quatre ans dans Zcash.