链上永续交易平台 Ostium 表示，一起持续 5 分钟的安全事件导致其公共流动性提供者 OLP 金库出现损失。多家安全公司给出的估算显示，漏洞规模最高约 2400 万美元。
Ostium 联合创始人 Kaledora Kiernan-Linn 确认，问题发生在 7 月 15 日 UTC 14:18 至 14:23 之间，影响的是公共 Ostium 流动性提供者金库。她表示，团队在几分钟内发现异常，并在 1 小时内协调暂停交易。不过，声明没有披露确切损失总额、根本原因，也没有发布最终事后报告。
安全公司称问题出在授权数据
围绕这次事件，Blockaid 和 Cyvers 的说法是，核心问题并非缺失签名，而是一个已注册的 PriceUpKeep 转发器提交了带有未来日期的授权预言机报告，从而创造出虚假交易利润。
SlowMist 也表示，授权签名者提供了带有效签名的操纵数据，这些数据被用于重复盈利交易。不过，这些描述目前仍来自第三方发现，仍有待 Ostium 后续事后报告确认。
从机制上看，密码学认证只能确认报告由被允许的密钥签署，但价格是否合理、时间戳是否足够新鲜，以及结算过程是否安全，还需要额外控制措施单独处理。
验证器代码检查签名者授权，但未强制价格与时间边界
根据 Ostium 安全文档链接的 OstiumVerifier 代码，相关逻辑会恢复 ECDSA 签名者，并检查该签名者是否已获授权，但该验证函数本身并不会强制执行价格合理性测试，也不会检查时间戳边界。
现有代码描述也没有明确指出，事件发生期间实际运行的是哪个实现版本，或者是否存在其他独立合约在执行路径上补充这些检查。这意味着，任何时间戳、重放、价格偏差或多源保护措施，如果确实存在，也必须是在执行链路的其他位置生效。
OLP 金库承担链上即时支付，公开估算持续上调
Ostium 协议文档称，OLP 金库存放交易者抵押品，并在链上即时向获胜交易支付收益。如果虚假利润被系统接受并完成结算，那么这些支付最终就会由金库流动性承担。
随着追踪继续，公开估算值逐步上升。Blockaid 认为支付金额接近 1800 万美元，Cyvers 估计为 2370 万美元，PeckShield 随后将被抽走金额描述为约 2400 万美元。
SlowMist 给出的数字较低，为 1186 万美元。报道指出，这一数字似乎对应其引用交易中可见的一笔 11,862,444.782 USDC 金库流出。
部分资金被换成 ETH，Ostium 称正与执法和安全机构合作
PeckShield 表示，被提取的 USDC 已被兑换为 12,080 ETH。截至其更新时，其中 10,540 ETH 已进入 Tornado Cash。
Kaledora Kiernan-Linn 表示，Ostium 正与执法部门、SEAL 911 以及第三方安全专家合作处理事件。
与 Bonzo Lend 事件不同，Ostium 面临的是“认证通过但数据有问题”
报道指出，这一机制与 4 天前 Hedera 借贷协议 Bonzo Lend 的问题并不相同。Bonzo 的事件报告称，其验证器接受了一份不带有效签名的证明；而在 Ostium 案例中，多家安全公司称，相关报告是沿着授权签名者路径通过验证的，也就是认证成功，但数据本身被指存在安全问题。
目前，Ostium 仍需确认签名者密钥是否遭到攻破、授权操作者是否存在恶意行为，或是否有其他特权路径被滥用。
至于后续修复是否有效，还要看签名者隔离、严格时间戳边界、独立价格检查、速率限制和熔断机制，能否阻止受信路径中的几分钟异常数据再次演变成金库支付。