Seorang penyerang menguras sekitar $11,86 juta USDC dari Ostium, bursa perpetual di Arbitrum, pada 15 Juli, menggunakan satu transaksi yang mengeksploitasi oracle harga khusus platform tersebut. Eksploitasi ini mengirimkan harga BTC/USD yang direkayasa — $5.000 untuk membuka posisi dan sekitar $60.000 untuk menutupnya — melalui serangkaian 20 panggilan. Ostium belum mengonfirmasi besaran penuh kerugian, dan angka tersebut masih bersifat sementara.
Cara serangan bekerja
Transaksi tersebut menggunakan executeBatch, bergantian antara kontrak Trading milik Ostium dan kontrak OstiumPrivatePriceUpKeep, yang mengirimkan harga bertanda tangan secara on-chain. Penyerang menargetkan pasangan BTC/USD (pairIndex 0) secara spesifik. Dompet tersebut telah membuka posisi pertamanya beberapa menit sebelumnya dengan deposit kesalahan pembulatan, yang menandakan serangan tersebut telah direncanakan sebelumnya.
Apa itu Ostium
Ostium adalah bursa perpetual terdesentralisasi untuk aset dunia nyata — saham, komoditas, indeks, mata uang — yang dibangun di atas Arbitrum. Ini menggunakan sistem oracle berbasis pull: Stork Network untuk umpan aset dunia nyata dan Chainlink Data Streams untuk umpan kripto. Proyek ini mengumpulkan $3,5 juta dalam putaran seed pada 2023 yang dipimpin oleh General Catalyst dan LocalGlobe, dan Series A senilai $20 juta pada Desember 2025 yang dipimpin bersama oleh General Catalyst dan Jump Crypto, total sekitar $27,8 juta. Hingga Desember 2025, Ostium mengiklankan volume perdagangan kumulatif lebih dari $25 miliar, termasuk sekitar $5 miliar untuk logam. DefiLlama menunjukkan TVL-nya hampir $63 juta pada hari eksploitasi terjadi.
Pola yang familiar
Eksploitasi ini memiliki kemiripan dengan eksploitasi stablecoin Resolv USR pada Maret, di mana satu peran istimewa dapat melakukan mint tanpa batasan on-chain. Dalam kedua kasus, komponen yang dipercaya — di sini oracle harga, di sana peran minting — disalahgunakan. Kegagalan otorisasi yang tepat di Ostium belum dikonfirmasi, dan total kerugian yang direkonsiliasi masih belum jelas.
Ostium belum menerbitkan analisis pasca-insiden atau angka kerugian final. Angka sementara tersebut berlaku hingga bursa atau analis independen merilis total yang telah direkonsiliasi. Pengguna masih menunggu kejelasan apakah dana akan dipulihkan dan perubahan apa yang akan dilakukan pada sistem oracle.
