德尔泰|安全警示·Ostium 预言机权限被利用:约 2375 万 USDC 从 OLP 金库被抽走

德尔泰|安全警示·Ostium 预言机权限被利用:约 2375 万 USDC 从 OLP 金库被抽走

——从「PriceUpKeep 转发器」看 DeFi 预言机信任攻击

一句话速览

2026 年 7 月 15 日,Arbitrum 上的 RWA 永续交易协议 Ostium 遭遇预言机权限滥用攻击,公共 OLP 金库链上口径约 2375 万 USDC 被抽走(早期机构估算 1800 万–2400 万美元)。根本问题不在于智能合约被“黑”,而在于报价基础设施(预言机 / keeper)的授权与信任被控;普通交易者保证金官方称未受影响,损失集中在向协议提供流动性的 OLP 金库。

作者 / 内容支持:德尔泰(Delta & Capital)研究团队 —— 总部位于中国香港的区块链数据分析与链上取证团队。发布:2026-07-16(北京时间)・数据以公开报道为准。

一、事件速览:被自家预言机“坑”了一刀

2026 年 7 月 15 日 22:18—22:23(北京时间,即 UTC 14:18–14:23),Arbitrum 上专注现实世界资产(RWA)的永续交易协议 Ostium 遭遇一起预言机权限滥用攻击,其公共 OLP 流动性金库被抽走资金。

关键数字与时间线:链上口径损失约 2375 万 USDC(早期安全机构估算从约 1800 万到约 2400 万美元不等,后续链上追踪收敛在 2375 万附近);金库 TVL 从约 3270 万骤降至约 900 万(约 -72%);被盗资金随后兑成约 12,084 ETH(均价约 1966 美元),其中 10,540 ETH 已进入 Tornado Cash。

最易被误读的一点:这并非 Ostium 的智能合约代码被直接攻破,也不是普通交易者的保证金被盗;攻击者是拿到了一个可以向协议提交“可信”价格报告的权限,用被操纵的价格把金库“合法”地提空。

二、攻击与资金链路图

下图梳理本次事件的完整链路(部分数字仍属第三方分析口径,最终以官方通告为准):

三、技术拆解:错到底出在哪里?

这类攻击的反直觉之处在于:敌人不需要破解合约,只需要让合约相信一个错误的价格。

1. 根因:报价权限被控,验证机制却“未起疑”

Ostium 依靠一套自动化报价基础设施把链下价格(黄金、原油、股指、外汇等 RWA)送上链,PriceUpKeep 转发器就是其中一环。攻击者控制了一个已注册的转发器,提交的报告带有“有效授权签名”,但其中的价格和日期已被篡改。协议的验证逻辑只确认“签名是否合法”,却没有充分质疑“价格 / 时间是否合理”,于是把伪造报价当真。

打个比方:仓库守卫只检查送货单上的印章是不是真的,却不核对单据上写的价格是否离谱——只要印章对,写多离谱的价都能提货。

2. 得手路径:一个可重复的“刷利润”循环

拿到“可信”报价权后,攻击者把一个四步动作反复刷了多笔:① 以人为有利的价格开仓;② 再用另一份异常价格报告平仓;③ 凭“买得低、卖得高”的假行情制造出账面交易利润;④ 以“盈利”为名从公共 OLP 金库领走 USDC。因为 OLP 金库是每一笔交易的对手方,这些“利润”直接从 LP 出资的池子里流出。

3. 为什么“代码审计通过”也不能高枝无忧?

审计往往只盯合约逻辑本身。而签名密钥管理、转发器权限分配、预言机信任假设这些“审计范围之外”的环节,才是本次事件的真正战场。今年以来,类似“把 keeper / 预言机当默认可信”导致的事件反复出现(如 KiloEx、Summer.fi 等),说明这是一条结构性的风险线。

四、德尔泰视角:从「链上取证」看这类事件的处置逻辑

面对这类事件,德尔泰(Delta & Capital)在实务中的关注点通常是:

受害对象界定:本案直接受损的是 OLP 金库及其背后的 LP,而非普通交易者保证金,需先把受影响主体划清楚;

赃款流向重建:USDC → 约 12,084 ETH → 部分进 Tornado Cash,需完整回溯兑换与混币路径;

地址簇归并:把初始资金(ChangeNow / Bybit 各 1 ETH)、攻击地址与后续派生地址归为同一簇;

落地点识别:判断赃款是否进入有实名(KYC)要求的中心化交易所——初始资金来自 ChangeNow / Bybit 这类入口,往往是协查的可能突破口;

合规级证据固定:把资金流时间线整理成平台与执法机关能据以行动的报告。

德尔泰(Delta & Capital)必须坦诚:资金一旦进入 Tornado Cash 这类混币器,追踪难度会显著上升。因此,对绝大多数用户与协议而言,事前防护的价值,远高于事后追索。

五、给用户与 LP 的行动清单(建议收藏)

• 把相关交互当作需谨慎处理:Ostium 用户与 LP 暂停与金库相关的充提与合约交互,等官方明确公告;

• 关注官方索赔 / 快照 / 通告:损失集中在 OLP 金库,LP 尤应留意后续赔付与快照安排;

• 大额冷存:与本次无关的其他资产,建议以硬件钱包冷存;

• 撤销历史授权:用可信授权管理工具检查并撤销对 Ostium 相关合约的代币授权(官方已建议);

• 高度警惕二次诈骗:凡先收费、保证追回的,几乎都是冲着你再被骗一次而来。

六、行业启示:报价基础设施是下一个高危攻面

对用户而言,“链上、去中心化”并不等于“无信任风险”:只要协议依赖链下数据结算,那套送价格的机器就是一个信任入口。选择协议时,除了看 TVL 与交易量,更要关心它的报价来源、签名与权限是否多重制衡。

对行业而言,Ostium 事件再次说明:智能合约审计不等于全部安全。密钥管理、签名基础设施与预言机信任假设,需要与合约代码同等级别的威胁建模与监控。

关键概念速查

预言机(Oracle):把链下价格等外部数据引入链上的机制,是 RWA / 永续协议的定价命脉。

Keeper / 转发器(PriceUpKeep):负责定时把报价推送上链的自动化角色,其授权一旦被控,等于能“合法”往协议喂假数据。

OLP 金库:LP 存入 USDC、作为平台每笔交易对手方的流动性池,交易者的盈亏由它承接。

KYT(了解你的交易):交易级反洗钱风控,是赃款落地后追索协查的基础。

常见问题(FAQ)

Q:Ostium 是智能合约被黑了吗?

不是。根因是报价基础设施(预言机 / 转发器)的授权与信任被滥用,而非合约逻辑被直接破解。

Q:我在 Ostium 的交易保证金丢了吗?

据官方描述,损失集中在公共 OLP 金库,交易者保证金仍在被冻结的交易合约中、未被动用;以官方后续通告为准。

Q:损失到底是 1800 万还是 2375 万?

早期不同安全机构口径从约 1800 万到约 2400 万美元不等,后续链上追踪收敛在约 2375 万 USDC 附近;最终以官方与链上核实为准。

Q:被盗资产还能追回吗?

取决于赃款是否仍可追踪、是否进入有实名要求的交易所、相关平台与司法程序是否配合。本案部分资金已进入 Tornado Cash,追索难度较大。事前防护远比事后追回重要,任何「保证追回」都应保持警惕。

内容支持

本文由德尔泰(Delta & Capital)提供链上安全与合规科普支持。德尔泰(Delta & Capital)专注于 CEX / DEX 账号限制 / 风控 / 冻结的申诉与解除限制支持,加密资产被盗、被骗追回支持。核心能力覆盖:链上交易追踪与资金流向分析、链上数据法证与链上追索、KYT/AML 实时风控与地址风险识别、KYT/SOW(资金来源证明)溯源与重构、跨链与多币种资金路径还原。更多可关注微信公众号 德尔泰Delta 。本文为公益性科普,不提供也不构成任何追回、解冻承诺,亦不替代法律程序。

风险与合规提示:本文为安全与反诈科普,不构成投资建议,也不构成任何保证追回承诺。文中事件数据来自公开报道,可能随调查进展更新。虚拟货币相关业务在我国境内不受法律保护,请理性看待并防范相关风险;资产被盗 / 被骗请第一时间报案并通过合法途径维权,谨防假冒追回名义的二次诈骗。