Ostium остановила торговлю после атаки на OLP Vault: из ликвидити-волта выведено до $18 млн USDC — до трети TVL протокола

RWA-перп DEX Ostium (Arbitrum: перпы на золото, нефть, индексы, FX и акции с плечом до 200x, расчёты в USDC) подверглась oracle-атаке. По данным Blockaid, атакующий использовал зарегистрированный PriceUpKeep-forwarder и подписанные oracle-отчёты с будущими временными метками: протокол принимал «цены из будущего», атакующий циклами открывал и закрывал позиции с искусственной прибылью, и волт выплатил порядка $18 млн USDC. Ostium подтвердила инцидент, остановила всю торговлю и ведёт расследование.

Оценка ущерба пока предварительная: независимые ончейн-аналитики называют цифры от $11,86 млн до $18 млн — от четверти до трети ликвидности протокола (TVL на момент атаки ~$63 млн). Часть источников описывает вектор как компрометацию приватного ключа oracle-подписанта; Blockaid этого прямо не утверждает — вопрос открыт до постмортема. Атакующий уже конвертирует USDC в ETH через Kyber и раскладывает по кошелькам.

Неприятная деталь из документации: bug bounty Ostium прямо выводила зарегистрированных киперов, включая PriceUpKeep, за периметр программы — они «считаются доверенными и работающими корректно». Атака пришла ровно через компонент, который протокол просил исследователей не проверять.

Это четвёртый оракульно-киперный инцидент за десять дней: Summer.fi (-$6 млн, 6 июля), Bonzo Lend (-$9 млн, 11 июля), Executor-кошельки LayerZero (-$2,4 млн, вчера) — и по той же схеме в апреле 2025-го выносили KiloEx (-$7,5 млн). Паттерн один: машинерия доставки цен доверена по умолчанию, и контроль над ней превращает протокол в банкомат.

Ostium — заметный игрок самой горячей категории года (RWA-перпы поставили рекорд $311 млрд объёма в июне): протокол привлёк $27,8 млн от General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute и GSR и провёл более $33 млрд кумулятивного объёма.

Источники:
https://x.com/Ostium/status/2077412452392652917
https://x.com/blockaid_/status/2077405527428989363
————————————————————
BredoStrategy Vault
Hyperliquid рефка
BredoStrategySubs