Arbitrum上の分散型無期限先物取引所であるOstiumは、攻撃者によって価格フィードシステムが操作され、約1800万USDCを失いました。
攻撃者は、自動価格報告インフラの一部であるOstiumの「PriceUpKeep」フォワーダーを悪用し、操作された未来のタイムスタンプを含むオラクルレポートを送信しました。この改ざんされたデータにより、あたかも利益が出ているような取引が偽装され、プロトコルの流動性保管庫から1800万USDCが引き出される結果となりました。
ブロックチェーンセキュリティ企業のBlockaidが、Arbitrumネットワーク上で発生したこのインシデントを検知しました。Ostiumは悪用が報告された後、取引を停止しています。
今回の攻撃は、先週Summer.fiで発生した600万ドルの流出事件と同様のものです。Ostiumは本件が発生するまでに2780万ドルの資金を調達しており、累計取引高は500億ドルを超えていました。
ユーザーの間では、Ostiumにおけるオラクル操作の悪用について、コードのバグというよりも設計上の欠陥であるとの議論がなされました。暗号資産に対する信頼の低下を嘆く声から、オラクルにおける単一障害点への懐疑的な意見まで、様々な反応が見られました。また、現在進行中の調査や資金追跡について言及するユーザーもいれば、過去のインシデントから教訓を得るべきだと指摘する声もありました。
Ostium just lost $18M to an oracle attack. Not a rugpull. Not a hack in the traditional sense. A design flaw that's been theoretically known for years. 🧵
— achilles (@achilleschain) 2026年7月15日
Ostium have just been exploited of over $18M
— badboyfoxy (@badboyfoxy) 2026年7月15日
the attackers used a registered price upkeep
and future data oracle which faked a massive profit and it drained the vaults of $18M
another one bites the dust hope the team recovers form this pic.twitter.com/DQpIvhdg4V
JUST IN: 🔒 Ostium hit for $18M in an oracle exploit, the latest scalp in a relentless wave of oracle attacks draining DeFi. The vulnerability isn't new. The losses keep being. pic.twitter.com/WH3E8OBgmK
— Watcher.News (@watchernewsx) 2026年7月15日
Ostium just lost $18M to a compromised oracle signer key — not a contract bug, one private key controlling the price feed. Second oracle/keeper exploit this week after https://t.co/d48ImHS8g8's $6M. If your yield depends on one signer, you don't have DeFi — you have a bank with…
— 60’s Trading (@HelpIn60Second) 2026年7月15日
No shade, but Ostium (latin for 'door/entrance') really did let the money walk right out the front 😔
— Gavin.sonic (@gavinmclelland) 2026年7月16日
attack compromised an oracle key, fed manipulated prices into the system, and then executed ~20 looped trades through the normal interface; The protocol did exactly what it was…
AIによるレポート AIによって生成された画像
Multiple cross-chain protocols were drained of more than $35 million in a series of attacks spanning six hours. The incidents targeted bridges and staking contracts on Arbitrum, Ethereum and Bitcoin scaling networks.
Hackers stole roughly $3.1 million in PUSD tokens from 11 user wallets on the prediction platform. The theft followed a phishing attack that exploited a compromised third-party vendor.
AIによるレポート
AFX and Verus suffered combined losses of $31.69 million in separate incidents on the Ethereum network. A third protocol, B², halted staking after unauthorized access to its upgrade authority.
A federal case is unfolding over $71 million in frozen cryptocurrency following the Kelp DAO exploit, as Aave seeks to release the funds for DeFi recovery. Victims of decades-old North Korean terrorist acts have filed a restraining notice against Arbitrum DAO, claiming the 30,765 ETH as DPRK-linked property. The dispute pits recent hack victims against long-standing terrorism judgment holders.
AIによるレポート
Thorchain confirmed a suspected multichain exploit on May 15 that drained about $10 million from users across several networks. The protocol activated emergency halts and has now launched a recovery portal for affected wallets.
LayerZero has acknowledged it made a mistake by allowing its own verifier network to secure high-value assets in a vulnerable setup. The admission comes weeks after a $292 million hack on Kelp DAO that the company had initially blamed on the developer. The firm says its core protocol remained unaffected.
AIによるレポート
Humanity Protocol said hackers stole more than $36 million in H tokens by compromising an employee's laptop that held multiple bridge admin keys. The decentralized identity project has halted bridge activity and is working with law enforcement.