Ostium-Exploit: Gefälschte Oracle-Daten leeren Vault

Ein Angreifer hat über manipulierte Preisdaten rund 24 Millionen US-Dollar aus dem Liquiditätspool der dezentralen Börse Ostium abgezogen.

Ein Schlüssel, 24 Millionen Dollar Schaden

Der Angriff vom 15. Juli folgte keinem komplexen Muster. Laut der Sicherheitsfirma Blockaid verschaffte sich der Angreifer Zugang zu einem privaten Schlüssel mit der Rolle PriceUpKeep, einer Oracle-Signer-Funktion innerhalb des Ostium-Systems. Über diesen Zugang speiste er gefälschte, in die Zukunft datierte Preiseinträge ein, die das Protokoll als legitim akzeptierte.

Was ist ein Oracle?

Ein Oracle liefert externe Daten wie Marktpreise an Smart Contracts auf der Blockchain. Wenn ein Oracle manipuliert wird, trifft der Smart Contract Entscheidungen auf Basis falscher Informationen.

Die manipulierten Preise ermöglichten es, fiktive Handelsgewinne zu erzeugen und als reale USDC-Token aus dem Liquiditätsvault abzuziehen. Der sogenannte OLP-Vault hielt zum Zeitpunkt des Angriffs rund 63 Millionen US-Dollar. Der Abfluss von etwa 24 Millionen entspricht damit fast 38 Prozent des gesamten Pools. Die gestohlenen Mittel wurden anschließend über reguläre Kanäle von Arbitrum auf die Ethereum-Hauptkette transferiert.

Ostium stoppte daraufhin den gesamten Handelsbetrieb und fror betroffene Positionen ein. Die Arbitrum-Bridge verarbeitete die Transaktionen als technisch gültig, da die Brückeninfrastruktur selbst nicht kompromittiert war.

Kein Code-Fehler, sondern ein Zugangsproblem

Der Ostium-Exploit unterscheidet sich von klassischen DeFi-Hacks. Es handelt sich weder um einen Flash-Loan-Angriff noch um eine Schwachstelle im Smart-Contract-Code. Das Problem lag in der Betriebssicherheit: Ein einzelner kompromittierter Schlüssel genügte, um das gesamte Preissystem zu unterwandern.

Was ist ein Flash-Loan-Angriff?

Bei einem Flash Loan wird ein Kredit innerhalb einer einzigen Blockchain-Transaktion aufgenommen und zurückgezahlt. Angreifer nutzen diese Technik, um mit geliehenem Kapital Preise kurzfristig zu manipulieren.

Das Muster erinnert an den Taiko-Bridge-Exploit von Juni, bei dem ebenfalls nicht der eigentliche Smart Contract, sondern eine vorgelagerte Verifizierungsschicht versagte. In beiden Fällen funktionierte die Blockchain-Infrastruktur wie vorgesehen. Die Schwachstelle lag jeweils dort, wo menschliche Kontrolle und automatisierte Systeme aufeinandertreffen.

Ostium hatte zuvor 27,8 Millionen US-Dollar an Finanzierung eingeworben und laut eigenen Angaben ein kumuliertes Handelsvolumen von über 50 Milliarden US-Dollar verarbeitet. Der ARB-Token verlor im Nachgang rund vier Prozent.

Warum das jetzt zählt

DeFi-Protokolle sichern Milliardenwerte in Smart Contracts ab, doch ihre Oracle-Infrastruktur bleibt oft an einzelne Schlüssel gebunden. Solange Preisdaten über kompromittierbare Zugangspunkte eingespeist werden, bleibt dies ein systemisches Risiko, das kein noch so guter Smart-Contract-Code beseitigen kann.

Einordnung und Ausblick

Ob Ostium den Handelsbetrieb wieder aufnehmen und betroffene Liquiditätsanbieter entschädigen kann, ist bislang offen.

Bullisches Szenario:

• Der Vorfall beschleunigt die Einführung von Multisignatur-Lösungen und dezentralisierten Oracle-Netzwerken.
• Protokolle mit nachweislich robuster Oracle-Architektur könnten Vertrauen und Kapital gewinnen.

Bärisches Szenario:

• Solange zentrale Zugangspunkte in Oracle-Systemen Standard bleiben, dürften ähnliche Exploits wiederkehren.
• Das könnte institutionelles Kapital von DeFi-Protokollen fernhalten.

Hinweis: Keine Anlageberatung. Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Aufforderung zum Kauf oder Verkauf von Finanzinstrumenten dar.