#OstiumHackCausesOver$23.75MLosses
DeFi-Orakel Achillesferse schlägt erneut zu — Ostiums Tresor in Minuten geplündert
Der Perpetual-DEX Ostium wurde am 15. Juli für 23,75 Millionen US-Dollar angegriffen, nachdem ein einzelner kompromittierter Orakel-Signer-Schlüssel es einem Angreifer ermöglichte, zukunftsdatierten Preisen ein falsches Datum zu geben und den OLP-Liquiditätstresor des Protokolls zu entleeren.
Der Angriffsvetor: Der Hacker hat nicht die Logik von Smart Contracts geknackt — er hat lediglich den privaten Schlüssel des externen Orakel-Signers kompromittiert und dann Ostiums eigenen PriceUpkeep-Relay genutzt, um gefälschte zukunftsdatenbelegte Preisberichte einzureichen. Ein einzelner executeBatch-Aufruf erzeugte 20 geschleifte, profitable Trades gegen den OLP-Tresor. Das System wertete die erfundenen Gewinne als echt und zahlte aus. Der gesamte Exploit dauerte fünf Minuten.
Die Folgen: Der Angreifer tauschte alle 23,75 Mio. USDC gegen 12.084 ETH zu etwa 1.966 US-Dollar im Durchschnitt und wusch dann den Großteil über Tornado Cash. Ostium setzte daraufhin sofort den gesamten Handel aus und forderte die Nutzer auf, die Genehmigungen für Verträge zu widerrufen. Das Team arbeitet nun mit Sicherheitsfirmen, Strafverfolgungsbehörden und Börsen zusammen, um die Gelder nachzuverfolgen — aber der Tornado-Cash-Abgang macht eine Rückholung unwahrscheinlich.
Was diesen Schlag besonders schmerzhaft macht: Ostium war eine gut finanzierte RWA-Perp-Plattform — 23,5 Mio. US-Dollar wurden von Coinbase, Jump und anderen erstklassigen (Tier-1) Venture-Capital-Firmen eingesammelt. Mehrere Security-Audits, Tier-1-Unterstützung — und trotzdem reichte ein einziger kompromittierter Schlüssel aus, um den Tresor komplett zu leeren. Die OLP-Liquiditätsanbieter — Nutzer, die eingezahlt hatten, um aus konstanten Erträgen durch Handelsgebühren zu verdienen — sind diejenigen, die am Ende die Rechnung zahlen.
Das größere Bild: Der Juli 2026 entwickelt sich zu einem brutalen Monat für DeFi-Infrastruktur-Angriffe. Ostium reiht sich in eine wachsende Liste von oracle-bezogenen Exploits ein, die immer wieder dasselbe zeigen: Die schwächste Stelle ist nicht die Kette, sondern die Off-Chain-Infrastruktur, die sie umgibt. Wie es ein Analyst ausdrückte: „Angreifer müssen die Kette nicht brechen. Sie brauchen nur eine einzige schwache Stelle in der Brücke.“
Kurz gesagt: 23,75 Mio. US-Dollar in fünf Minuten verschwunden. Handel eingefroren. Gelder in Tornado Cash. Die RWA-Perp-Story erleidet einen Glaubwürdigkeitsverlust, und LP-Anbieter werden daran erinnert, dass in DeFi die Versicherung nur so stark ist wie der schwächste Schlüssel.
Keine finanzielle Beratung. $BTC
DeFi-Orakel Achillesferse schlägt erneut zu — Ostiums Tresor in Minuten geplündert
Der Perpetual-DEX Ostium wurde am 15. Juli für 23,75 Millionen US-Dollar angegriffen, nachdem ein einzelner kompromittierter Orakel-Signer-Schlüssel es einem Angreifer ermöglichte, zukunftsdatierten Preisen ein falsches Datum zu geben und den OLP-Liquiditätstresor des Protokolls zu entleeren.
Der Angriffsvetor: Der Hacker hat nicht die Logik von Smart Contracts geknackt — er hat lediglich den privaten Schlüssel des externen Orakel-Signers kompromittiert und dann Ostiums eigenen PriceUpkeep-Relay genutzt, um gefälschte zukunftsdatenbelegte Preisberichte einzureichen. Ein einzelner executeBatch-Aufruf erzeugte 20 geschleifte, profitable Trades gegen den OLP-Tresor. Das System wertete die erfundenen Gewinne als echt und zahlte aus. Der gesamte Exploit dauerte fünf Minuten.
Die Folgen: Der Angreifer tauschte alle 23,75 Mio. USDC gegen 12.084 ETH zu etwa 1.966 US-Dollar im Durchschnitt und wusch dann den Großteil über Tornado Cash. Ostium setzte daraufhin sofort den gesamten Handel aus und forderte die Nutzer auf, die Genehmigungen für Verträge zu widerrufen. Das Team arbeitet nun mit Sicherheitsfirmen, Strafverfolgungsbehörden und Börsen zusammen, um die Gelder nachzuverfolgen — aber der Tornado-Cash-Abgang macht eine Rückholung unwahrscheinlich.
Was diesen Schlag besonders schmerzhaft macht: Ostium war eine gut finanzierte RWA-Perp-Plattform — 23,5 Mio. US-Dollar wurden von Coinbase, Jump und anderen erstklassigen (Tier-1) Venture-Capital-Firmen eingesammelt. Mehrere Security-Audits, Tier-1-Unterstützung — und trotzdem reichte ein einziger kompromittierter Schlüssel aus, um den Tresor komplett zu leeren. Die OLP-Liquiditätsanbieter — Nutzer, die eingezahlt hatten, um aus konstanten Erträgen durch Handelsgebühren zu verdienen — sind diejenigen, die am Ende die Rechnung zahlen.
Das größere Bild: Der Juli 2026 entwickelt sich zu einem brutalen Monat für DeFi-Infrastruktur-Angriffe. Ostium reiht sich in eine wachsende Liste von oracle-bezogenen Exploits ein, die immer wieder dasselbe zeigen: Die schwächste Stelle ist nicht die Kette, sondern die Off-Chain-Infrastruktur, die sie umgibt. Wie es ein Analyst ausdrückte: „Angreifer müssen die Kette nicht brechen. Sie brauchen nur eine einzige schwache Stelle in der Brücke.“
Kurz gesagt: 23,75 Mio. US-Dollar in fünf Minuten verschwunden. Handel eingefroren. Gelder in Tornado Cash. Die RWA-Perp-Story erleidet einen Glaubwürdigkeitsverlust, und LP-Anbieter werden daran erinnert, dass in DeFi die Versicherung nur so stark ist wie der schwächste Schlüssel.
Keine finanzielle Beratung. $BTC