Arbitrum 上现实世界资产永续合约交易协议 Ostium 在周三暂停全部交易。此前有攻击者被指通过操纵其预言机系统，从协议的 OLP 流动性金库中提取最高约 1800 万美元 USDC。
Ostium 此前曾从包括 General Catalyst 和 Jump Crypto 在内的支持方筹集约 2780 万美元资金。该协议主要在 Arbitrum 上提供现实世界资产相关永续合约交易。
Blockaid 披露利用路径，损失金额存在分歧
链上安全公司 Blockaid 表示，攻击者“使用一个已注册的 PriceUpKeep forwarder，以及带有未来时间戳的已授权预言机报告，人为制造交易利润，触发金库支付约 1800 万美元 USDC”。
Blockaid 披露了此次利用对应的交易和攻击者地址，二者均位于 Arbitrum 上。报道提到的交易哈希为 0x359f8c05...d4870e0，链上已可确认。
不过，各方对损失规模的估算并不一致。Blockaid 将支出金额定为约 1800 万美元；独立链上观察者给出的数字更低，部分估算认为被转出的金额接近 1186 万美元。到目前为止，Ostium 还没有发布自己的损失核算结果。
根据 DefiLlama 数据，攻击发生前不久，该协议总锁仓价值约为 6330 万美元。即便按较低估算计算，这次损失在金库余额中所占比例也不小。
协议确认事件并暂停市场
Ostium 已确认出现问题，并暂停市场运行。该协议在 X 上写道：“We are aware of the issue with the OLP vault. We have paused all trading. The team is investigating.”
Ostium 允许用户直接通过加密钱包交易黄金、石油、股票指数和外汇等资产的永续合约，并在 Arbitrum 这一 Layer 2 网络上以 USDC 结算。按照 Ostium 的说法，协议的 OLP 金库已在 50 多个市场中支持了超过 330 亿美元的累计交易量。
攻击点落在既有信任边界之内
按照 Blockaid 的说法，攻击者使用的组件，处在 Ostium 先前告知安全研究人员应视为安全的边界之内。Ostium 的漏洞赏金范围说明写道，所有已注册 keeper，包括 PriceUpKeep，“及其 forwarder 均被假定为可信且运行正确”，而那些需要 keeper 被攻破或 keeper 存在恶意行为才能成立的问题，不在该赏金计划范围内。
此次攻击的具体机制以及最高损失数字，目前都来自 Blockaid 的披露，尚未经过独立核对。Blockaid 在帖文中提到的是“已注册的 forwarder”和“未来时间戳的已授权预言机报告”；其表述并没有说明私钥已经泄露，尽管有一些关于这次攻击的说法将其描述为私钥被攻破。
截至目前，Ostium 尚未确认攻击者是如何获得提交这些报告的能力，也没有公布最终损失统计。
又一起 keeper 与预言机系统被利用的案例
这次事件是近期又一起针对自动化 keeper 与预言机系统的利用案例。这类系统通常被 DeFi 协议用来把现实世界价格推送到链上。
根据 Summer.fi 发布的事后复盘，7 月 6 日该项目曾因股价操纵损失约 604 万美元。另据报道，2025 年 4 月，攻击者通过冒充受信任 keeper，在三条链上向 KiloEx 提供虚假价格，转走约 750 万美元。就结构而言，这与 Blockaid 对 Ostium 事件的描述相近。
这类事件反映出一类反复出现的薄弱点：对于依赖链下数据结算交易的协议，价格传输机制往往默认被信任；一旦相关环节被攻击者控制，协议就可能为原本并未产生真实利润的交易执行支付。