Arbitrum 上的去中心化永续合约平台 Ostium 遭遇预言机操纵攻击，协议流动性金库约 1800 万枚 USDC 被转出。链上安全公司 Blockaid 表示，攻击者借助其价格上报流程中的已注册组件，提交带未来时间戳的虚假数据，触发了异常付款。
攻击利用价格上报组件
Ostium 主要提供与现实世界资产挂钩的永续交易，包括黄金、外汇和股票指数，结算资产为 USDC。该协议部署在 Arbitrum 上，支持最高 200 倍杠杆。
根据公开信息，Ostium 使用自定义价格喂价系统跟踪现实世界资产价格，并借助第三方自动化网络 Gelato 在特定时点把价格写入链上。处于这一流程核心位置的合约名为 PriceUpKeep，负责在交易执行时触发最新价格上链。
Blockaid 称，攻击者此次利用的是一个已注册的 PriceUpKeep forwarder。通过向系统提交被篡改、且带有未来时间戳的预言机数据，攻击者制造出交易获利的假象，最终从协议金库提取约 1800 万枚 USDC。
再现 keeper 与预言机漏洞
这起事件延续了 DeFi 领域近年反复出现的 keeper 与预言机攻击路径。此类攻击通常不是直接篡改市场价格本身，而是利用具备特定权限的自动化组件，操纵价格数据的写入时机或内容，从流动性池中套取资金。
就在上周，Summer.fi 也曾因类似问题损失约 600 万美元。连续发生的事件显示，许多协议依赖的链上自动化与喂价基础设施，仍然是 DeFi 安全中的薄弱环节。
Ostium此前融资2780万美元
在本次事件发生前，Ostium 已累计融资 2780 万美元。其中，2025 年底完成的一轮 A 轮融资规模为 2400 万美元，由 General Catalyst 和 Jump Crypto 共同领投。
公开数据显示，Ostium 此前累计交易量已超过 500 亿美元。此次攻击不仅造成资金损失，也可能影响市场对 RWA 永续交易协议风控能力的评估。