Ostium pierde 18 millones de dólares en ataque de oráculo

Un atacante drenó aproximadamente $18 millones en USDC de la bóveda de liquidez de Ostium en Arbitrum mediante un exploit de manipulación de oráculo detectado por la firma de seguridad blockchain Blockaid, según datos onchain. El atacante utilizó un forwarder PriceUpKeep registrado, un componente de la infraestructura automatizada de Ostium, para enviar informes de precios del oráculo con marcas temporales fechadas en el futuro. Los informes manipulados hicieron que posiciones perdedoras parecieran rentables, lo que activó el pago de $18 millones en USDC desde la bóveda.

Ostium es un exchange descentralizado de perpetuos en Arbitrum que permite a los usuarios operar activos del mundo real, incluidos commodities, divisas e índices bursátiles, con apalancamiento de hasta 200x y liquidación en USDC. El protocolo usa un sistema propio de feeds de precios para seguir esos precios offchain, con la red de automatización de terceros Gelato encargada de publicar las últimas cotizaciones onchain en los momentos adecuados. Un smart contract llamado PriceUpKeep está en el centro de ese proceso y actúa como el disparador que escribe los datos de precios cuando debe ejecutarse una operación. El atacante comprometió esa canalización, no un feed de precios externo.

Por qué importa

El exploit llega tras una serie de ataques a oráculos y sistemas de keeper en DeFi, el más reciente un drenaje de $6 millones de Summer.fi la semana pasada mediante un patrón similar de acceso a roles privilegiados y manipulación del momento o el contenido de los datos de precios para extraer fondos de pools de liquidez. El patrón repetido es la clave: las redes de keeper y la infraestructura automatizada de precios siguen siendo un punto débil, y los protocolos que dependen de ellas para llevar precios de activos del mundo real onchain heredan ese riesgo.

Impacto en el mercado

Ostium había captado $27,8 millones en financiación total, incluida una Serie A de $24 millones coliderada por General Catalyst y Jump Crypto a finales de 2025, y había procesado más de $50.000 millones en volumen acumulado de negociación. Una pérdida de $18 millones es una parte material de esa reserva para un protocolo en un vertical de perps RWA aún incipiente, y el incidente llega mientras las plataformas centralizadas informaron volúmenes récord de perpetuos RWA de $311.000 millones en junio, un contraste que subraya que los perps RWA onchain siguen siendo una superficie que exige más confianza que la alternativa centralizada.