DeFi · ✦ AI tổng hợp
Sàn DEX Ostium trên Arbitrum bị tấn công oracle, mất gần 18 triệu USD
Nền tảng giao dịch hợp đồng vĩnh cửu RWA Ostium trên Arbitrum bị khai thác lỗ hổng oracle vào ngày 15/7/2026, thiệt hại gần 18 triệu USDC. Kẻ tấn công đã chiếm đoạt khóa riêng tư của oracle signer, thao túng giá và rút khoảng 32–35% tổng thanh khoản của vault trong vài giờ.
Ostium mất gần 18 triệu USDC vì lỗ hổng oracle
Nền tảng giao dịch hợp đồng vĩnh cửu tài sản thực (RWA) Ostium xây dựng trên Arbitrum đã trở thành nạn nhân của một vụ tấn công nghiêm trọng vào ngày 15/7/2026, với thiệt hại ước tính lên tới gần 18 triệu USDC bị rút ra khỏi vault thanh khoản chính.
Cơ chế tấn công: Chiếm khóa oracle, giả mạo giá
Theo điều tra ban đầu, nguyên nhân gốc rễ là khóa riêng tư của oracle signer bị xâm phạm. Với khóa này trong tay, kẻ tấn công có khả năng vượt qua các bước xác minh của giao thức và tự ý nộp các báo cáo giá oracle có thời hạn trong tương lai theo hướng có lợi cho mình.
Kẻ tấn công lợi dụng một PriceUpKeep forwarder đã được đăng ký hợp lệ để thực hiện khoảng 20 vòng giao dịch lặp liên tiếp thông qua cơ chế delegated actions — mở và đóng lệnh liên tục để thu lợi nhuận nhân tạo mà không cần chịu rủi ro thị trường thực sự. Toàn bộ khoản lợi nhuận này được trả trực tiếp từ vault của giao thức.
Quy mô thiệt hại
Công ty bảo mật Blockaid là đơn vị đầu tiên gắn cờ cảnh báo sự cố này. Dữ liệu on-chain cho thấy khoảng 11,86 triệu đến 18 triệu USDC đã bị rút ra, tương đương 32–35% TVL của vault tại thời điểm tấn công (ước tính khoảng 34 triệu USD). Giao dịch khai thác chính có thể xác minh công khai trên Arbiscan.
Ostium là một trong những sàn DEX hợp đồng vĩnh cửu phi tập trung hàng đầu tập trung vào tài sản thực, bao gồm cổ phiếu, hàng hóa, ngoại hối và các chỉ số tài chính.
Nhà đầu tư lớn, tổn thất nặng nề
Trước vụ việc, Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư tổ chức hàng đầu như General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute và GSR. Dù được hậu thuẫn mạnh về tài chính và đã trải qua nhiều vòng kiểm toán bảo mật, giao thức vẫn không tránh khỏi lỗ hổng liên quan đến quản lý khóa oracle.
Vụ tấn công cho thấy rủi ro dai dẳng trong hạ tầng RWA phụ thuộc vào oracle: ngay cả các dự án được tài trợ tốt và kiểm toán kỹ lưỡng vẫn có thể dễ bị tổn thương trước các cuộc tấn công chiếm đoạt khóa riêng tư.
Phản ứng và khuyến cáo
Vụ việc hiện đang được điều tra tích cực. Người dùng được khuyến cáo theo dõi các kênh thông tin chính thức của Ostium để cập nhật hướng dẫn rút tiền và các bản vá bảo mật.
Sự cố này nhấn mạnh sự cần thiết phải tăng cường quản lý khóa oracle và triển khai hệ thống giám sát theo thời gian thực trong các giao thức DeFi lai. Theo giới phân tích bảo mật, khi lĩnh vực RWA perpetuals tiếp tục tăng trưởng mạnh, các nền tảng tương tự có thể sẽ phải đối mặt với sự giám sát chặt chẽ hơn trong thời gian tới.
/ Bài viết liên quan
Tài sản thực tế (RWA) thu hút 32% người dùng mới của Hyperliquid đầu năm 2026
Hyperliquid ghi nhận sự tăng trưởng mạnh nhờ tài sản thực tế (RWA), khi phân khúc này đóng góp tới 32% lượng người dùng mới trong đầu năm 2026. Xu hướng này phản ánh sự dịch chuyển đáng kể trong động lực thị trường, mở rộng khả năng tiếp cận nền tảng.
CRV bước vào Epoch 6: Lượng phát hành hàng năm lần đầu giảm dưới 100 triệu token
Curve Finance chính thức bước sang Epoch 6 từ ngày 12/8/2025, với tốc độ phát hành CRV giảm từ ~115,5 triệu xuống còn ~97,2 triệu token/năm — lần đầu tiên trong lịch sử mức phát hành thường niên rơi xuống dưới ngưỡng 100 triệu. Đây cũng là dịp kỷ niệm 6 năm ra mắt của Curve DAO.
Curve Finance: Lợi suất tốt nhất & Chỉ số hệ sinh thái tuần 33/2026
Tuần 33/2026, Curve Finance ghi nhận Llamalend tăng trưởng mạnh với TVL đạt 164 triệu USD (+12,3%), pool sUSG/reUSD dẫn đầu lợi suất USD ở mức 18%. CRV bước vào epoch khai thác thứ sáu với lượng phát hành hằng ngày giảm 15,91% xuống còn 266.197 CRV. Robinhood Chain lần đầu xuất hiện trong bảng phí DEX.
Curve Finance tháng 7/2026: Llamalend V2 ra mắt, crvUSD tăng trưởng mạnh
Trong tháng 7/2026, Curve Finance ghi nhận nhiều cột mốc quan trọng: Llamalend V2 chính thức ra mắt trên Ethereum mainnet với ba thị trường mới, lãi suất vay crvUSD giảm mạnh từ 5,6% xuống còn 2%, trong khi lượng crvUSD được đúc tăng 29% lên 36,7 triệu USD. DAO cũng mở thầu công khai tìm nhà cung cấp đánh giá rủi ro mới.