币圈界报道：

Ostium流动性金库遭预言机操控，逾1800万美元资产被恶意提取

位于Arbitrum网络的Ostium流动性金库遭遇严重安全事件，累计损失金额逼近1800万USDC。攻击者通过操控已授权的预言机系统，构造虚假价格信号，诱导金库执行可盈利的交易结算，从而实现对储备资金的非正常索取。

攻击路径依赖授权机制与未来价格报告

此次入侵的核心在于攻击者利用了已注册的PriceUpKeep转发器，并提交带有合法授权但指向未来时间的价格数据。这一组合使攻击者能够在不承担真实市场风险的前提下，持续进行开仓与平仓操作，形成闭环的虚假利润循环，最终触发金库自动支付。

关键交易揭示大规模资金外流

单笔主要攻击行为涉及约1186万USDC的链上转账，该金额已构成总损失估算的重要部分。调查团队正全面追踪相关交易轨迹，以厘清全部资金流向与潜在共谋节点，目前尚无法确认是否还有其他未披露的受损环节。

签名密钥存在泄露或权限劫持嫌疑

所有有效价格报告均使用了经过认证的签名者私钥，表明攻击者可能已获取原始密钥，或具备对签名流程的等效控制能力。尽管尚未公布完整技术复盘，但当前迹象强烈指向权限管理层面的重大漏洞。

金库结算模型因价格失真而崩溃

Ostium金库作为永续DEX的在链结算中枢，其运行依赖于流动性质押与缓冲层协同机制。用户存入USDC获得OLP代币，而由关联方提供的次级缓冲区用于吸收交易者收益，保护本金安全。然而，当价格报告被人为篡改后，系统误判为真实盈利头寸，立即发放支付，绕过链下对冲验证环节，致使虚构利润转化为实际资金流出。

多合约组件同时受波及

受影响范围涵盖PriceUpKeep、PriceRouter、验证器、回调函数及金库核心合约等多个模块。尽管此前已由Zellic、ThreeSigma和Pashov Audit Group完成多项审计，重点覆盖预言机处理与结算逻辑，但本次事件暴露出部署后权限配置与运行时监控的盲区。

交易暂停等待深度调查

为防止进一步损失，Ostium已全面暂停所有交易活动，进入紧急调查阶段。团队正在评估基础设施受损程度、核算最终损失规模，并审查剩余资本状况。截至目前，尚未公布恢复运营的时间表或具体修复方案。

近年同类攻击频发，模式高度相似

在2026年，已有多个项目遭遇类似结构性攻击。例如Thetanuts Finance因会计边界漏洞，被白帽黑客发现后虽造成约210万美元损失，但未引发更大连锁反应。此类事件反映出预言机操纵、密钥泄露、管理权限失控以及金库会计规则缺陷已成为主流攻击路径。

损失占比超半数，系统稳定性面临挑战

攻击前，该金库持有约3400万美元的流动性储备。若最终确认1800万美元损失成立，将意味着超过一半的资金被清空。其中1186万的单一交易额约占总量的三分之一，凸显此次事件的严重性与系统性风险敞口。