Ostium-Exploit: Oracle-Angriff kostet DeFi-Protokoll bis zu 22 Millionen Dollar

Ein mutmaßlicher Oracle-Exploit hat das DeFi-Protokoll Ostium auf Arbitrum getroffen. Sicherheitsfirmen beziffern den Schaden auf bis zu 22 Millionen US-Dollar.

Angriff auf das Preisdaten-System

Ostium stoppte den Handel am 15. Juli 2026, nachdem ein Problem im sogenannten OLP-Liquidity-Vault erkannt worden war. Das Protokoll ermöglicht auf der Arbitrum-Blockchain den Handel mit Perpetual-Kontrakten auf Aktien, Rohstoffe, Indizes und Kryptowährungen.

Was ist ein Oracle?

Ein Oracle liefert externe Daten wie Preise an Smart Contracts auf der Blockchain. Wird es manipuliert, können Angreifer falsche Preise einspeisen und daraus Gewinne ziehen.

Die Blockchain-Sicherheitsfirma Blockaid schätzt den Verlust auf rund 18 Millionen US-Dollar. CertiK kommt in einer eigenen Analyse auf etwa 22 Millionen US-Dollar. Beide Firmen identifizieren das Oracle-System als Angriffspunkt. Ostium selbst hat die genaue Schadenshöhe bislang nicht bestätigt und führt eine eigene Untersuchung durch. Das Projekt forderte alle Nutzer auf, ihre Contract-Approvals sofort zu widerrufen, bis die Ursache abschließend geklärt ist.

Was sind Contract-Approvals?

Nutzer erteilen Smart Contracts Freigaben, um auf ihre Token zugreifen zu dürfen. Wird ein Protokoll kompromittiert, können Angreifer diese Freigaben ausnutzen, um Gelder abzuziehen.

Angriffe verlagern sich auf die Infrastruktur hinter den Smart Contracts

Der Ostium-Vorfall fügt sich in ein breiteres Muster ein. Sicherheitsforscher beobachten, dass DeFi-Angriffe zunehmend nicht mehr auf Schwachstellen im eigentlichen Smart-Contract-Code abzielen, sondern auf vorgelagerte Infrastruktur: Oracle-Systeme, privilegierte Zugänge und Schlüsselverwaltung. Die Angriffsfläche verschiebt sich damit auf Komponenten, die schwerer zu auditieren sind.

Laut DeFiLlama verursachten Krypto-Exploits allein im April 2026 Verluste von knapp 630 Millionen US-Dollar – der höchste Monatswert seit Februar 2025. DeFi-Protokolle machten den Großteil davon aus. JPMorgan bezeichnete in einer Analyse im selben Monat die Sicherheit von Brücken und externen Datenquellen als zentrale Hürde für die institutionelle DeFi-Nutzung. Misha Putiatin, CEO der Sicherheitsfirma Statemind, ergänzte im Mai 2026, dass Institutionen zunehmend nicht in der Lage seien, Hack-Risiken zu quantifizieren, was ihre Bereitschaft reduziere, DeFi-Renditen zu akzeptieren.

Warum das jetzt zählt

Oracle-Exploits treffen einen neuralgischen Punkt dezentraler Finanzprotokolle. Smart Contracts können formal korrekt sein und trotzdem ausgehebelt werden, wenn die Daten, auf die sie sich stützen, manipuliert werden. Für Nutzer von Ostium besteht unmittelbarer Handlungsbedarf beim Widerruf von Freigaben. Für den DeFi-Sektor insgesamt unterstreicht der Vorfall, dass Sicherheit weit über den Code hinausgedacht werden muss.

Einordnung und Ausblick

Ob Ostium betroffene Nutzer entschädigen kann und wie das Oracle-System künftig abgesichert wird, ist offen. Das Protokoll hat schnell reagiert, doch der Schaden ist erheblich.

Bullisches Szenario:

Eine transparente Aufarbeitung und verbesserte Oracle-Standards könnten das Vertrauen in DeFi-Sicherheitsarchitekturen langfristig stärken. Schnelle Reaktionszeiten wie bei Ostium zeigen, dass Protokolle aus früheren Vorfällen gelernt haben.

Bärisches Szenario:

Sollte sich bestätigen, dass ein einzelner manipulierter Datenfeed ausreichte, um zweistellige Millionenbeträge abzuziehen, dürfte das die Diskussion über Oracle-Standards verschärfen. Die wachsende Häufigkeit solcher Vorfälle deutet darauf hin, dass die Sicherheitsarchitektur vieler Protokolle mit ihrem eigenen Wachstum nicht Schritt hält. Für institutionelle Anleger bleibt das ein konkretes Risiko, das bislang kaum standardisiert bewertet werden kann.

Hinweis: Keine Anlageberatung. Dieser Artikel dient ausschließlich zu Informationszwecken und stellt keine Aufforderung zum Kauf oder Verkauf von Finanzinstrumenten dar.