Ein gezielter Oracle-Angriff auf die Arbitrum-Plattform Ostium führte zum Diebstahl von 18 Millionen USDC. Die Sicherheitsfirma Blockaid identifizierte die Manipulation der Preis-Feeds, die fiktive Handelsgewinne vortäuschte. Der Exploit traf die Perpetual-Börse für Real-World Assets am 15. Juli 2026.
Manipulation der PriceUpKeep-Infrastruktur
Der Angreifer nutzte einen registrierten PriceUpKeep-Forwarder innerhalb des Automatisierungssystems von Ostium. Durch die Übermittlung von Oracle-Berichten mit manipulierten Zeitstempel-Daten aus der Zukunft erzeugte der Hacker den Anschein profitabler Trades. Dies löste eine automatische Auszahlung von 18 Millionen USDC aus dem Vault aus.
Ostium setzt ein eigenes Preis-Feed-System ein, um Kurse von Gold, Forex und Aktienindizes zu tracken. Das Netzwerk Gelato ist für das On-Chain-Pushing dieser Daten verantwortlich. Der PriceUpKeep-Smart-Contract fungiert dabei als zentraler Auslöser für die Ausführung von Trades auf der Arbitrum-Chain.
Dieser Vorfall reiht sich in eine Serie von Oracle-Exploits ein. Erst in der Vorwoche verzeichnete Summer.fi einen Verlust von 6 Millionen USD durch ähnliche Schwachstellen in der automatisierten Infrastruktur. Angreifer nutzen dabei gezielt privilegierte Rollen, um den Zeitpunkt oder Inhalt von Preisdaten zu verändern.
Die technische Architektur von Ostium ermöglichte Hebel bis zu 200x für Nutzer. Die Plattform hatte bis zum Angriff eine Finanzierung von 27,8 Millionen USD erhalten. Diese Summe beinhaltete eine Series-A-Runde über 24 Millionen USD, die General Catalyst und Jump Crypto Ende 2025 anführten.
Finanzielle Folgen und Marktreaktion
Der Verlust von 18 Millionen USDC trifft eine Plattform, die bereits ein kumulatives Handelsvolumen von über 50 Milliarden USD erreicht hatte. Die On-Chain-Daten von Blockaid belegen den schnellen Abfluss der Mittel aus dem Liquidity Vault unmittelbar nach der Manipulation der Zeitstempel.
Während BTC bei 65.373 USD und ETH bei 1.929,88 USD notieren, bleibt die systemische Auswirkung auf Arbitrum begrenzt. Dennoch verdeutlicht der Vorfall die Risiken bei der Abhängigkeit von Drittanbietern wie Gelato für die Validierung von Real-World-Asset-Preisen.
Fazit: Fokus auf Oracle-Sicherheit
Die Nutzung von Protokollen mit hoher Hebelwirkung erfordert eine genaue Prüfung der Preis-Oracle. Wer USDC in DeFi-Vaults hält, sollte die Abhängigkeit von automatisierten Forwardern prüfen. Die Diversifikation von Assets über verschiedene Layer-2-Netzwerke reduziert das Risiko eines Totalverlusts durch einzelne Infrastruktur-Exploits.
Quelle: Google News EN (Crypto)
