Ostium trên Arbitrum bị tấn công oracle, thất thoát 18 triệu USDC

Theo CoinDesk, nền tảng giao dịch hợp đồng vĩnh cửu phi tập trung Ostium triển khai trên Arbitrum đã hứng chịu một vụ tấn công oracle, khiến khoảng 18 triệu USDC bị rút khỏi kho thanh khoản của giao thức. Công ty an ninh Blockaid cho biết kẻ tấn công đã tạo các báo cáo giá giả để ghi nhận lợi nhuận "ảo", sau đó thực hiện rút tiền. Cuộc tấn công khai thác khóa ký (signing key). Theo thông tin Blockaid công bố, đối tượng đã giành quyền kiểm soát khóa ký của oracle và sử dụng một relayer PriceUpKeep đã được đăng ký để gửi các báo cáo giá có mốc thời gian ở tương lai kèm chữ ký hợp lệ, qua đó thao túng hệ thống price feed của Ostium. Trong quá trình này, giao thức đã tính toán và chi trả lượng USDC lớn cho kẻ tấn công dựa trên các vị thế lợi nhuận không có thật. Ostium sau đó đăng trên X rằng đội ngũ phát hiện bất thường tại kho bạc OLP, đã tạm dừng toàn bộ hoạt động giao dịch và đang điều tra sự cố. Ước tính khoảng 1/3 thanh khoản đã chảy ra ngoài. Ostium cung cấp các hợp đồng vĩnh cửu gắn với tài sản thực như cổ phiếu, hàng hóa, ngoại hối và chỉ số. Tại thời điểm xảy ra sự cố, tổng giá trị khóa (TVL) của giao thức vào khoảng 63 triệu USD; mức thất thoát 18 triệu USD tương đương gần 1/3 thanh khoản. Tài sản bị rút là USDC do Circle phát hành. Sau sự cố, toàn bộ giao dịch đã bị đình chỉ. Sự cố bảo mật DeFi tiếp tục gia tăng Báo cáo cho biết trong 5 tháng đầu năm 2026, các giao thức DeFi đã chịu thiệt hại hơn 840 triệu USD do các vụ trộm cắp. Trong đó, KelpDAO mất khoảng 292 triệu USD và Drift Protocol mất khoảng 285 triệu USD. Tháng 6, Resolv Labs cũng bị tấn công, thiệt hại hơn 25 triệu USD. Một số nhà nghiên cứu bảo mật nhận định các công cụ AI đang đẩy nhanh việc phát hiện lỗ hổng. Trước đó, giới chuyên môn lưu ý các mô hình hiện có đã có thể rà soát mã nhanh hơn và nhận diện điểm yếu tiềm ẩn. Tháng 5, các nhà nghiên cứu đã dùng mô hình Claude Opus của Anthropic để phát hiện một lỗ hổng giả mạo tồn tại suốt 4 năm trong Zcash.