DeFi · ✦ AI tổng hợp
Sàn DEX Ostium trên Arbitrum bị tấn công oracle, mất gần 18 triệu USD
Nền tảng giao dịch hợp đồng vĩnh cửu RWA Ostium trên Arbitrum bị khai thác lỗ hổng oracle vào ngày 15/7/2026, thiệt hại gần 18 triệu USDC. Kẻ tấn công đã chiếm đoạt khóa riêng tư của oracle signer, thao túng giá và rút khoảng 32–35% tổng thanh khoản của vault trong vài giờ.
Ostium mất gần 18 triệu USDC vì lỗ hổng oracle
Nền tảng giao dịch hợp đồng vĩnh cửu tài sản thực (RWA) Ostium xây dựng trên Arbitrum đã trở thành nạn nhân của một vụ tấn công nghiêm trọng vào ngày 15/7/2026, với thiệt hại ước tính lên tới gần 18 triệu USDC bị rút ra khỏi vault thanh khoản chính.
Cơ chế tấn công: Chiếm khóa oracle, giả mạo giá
Theo điều tra ban đầu, nguyên nhân gốc rễ là khóa riêng tư của oracle signer bị xâm phạm. Với khóa này trong tay, kẻ tấn công có khả năng vượt qua các bước xác minh của giao thức và tự ý nộp các báo cáo giá oracle có thời hạn trong tương lai theo hướng có lợi cho mình.
Kẻ tấn công lợi dụng một PriceUpKeep forwarder đã được đăng ký hợp lệ để thực hiện khoảng 20 vòng giao dịch lặp liên tiếp thông qua cơ chế delegated actions — mở và đóng lệnh liên tục để thu lợi nhuận nhân tạo mà không cần chịu rủi ro thị trường thực sự. Toàn bộ khoản lợi nhuận này được trả trực tiếp từ vault của giao thức.
Quy mô thiệt hại
Công ty bảo mật Blockaid là đơn vị đầu tiên gắn cờ cảnh báo sự cố này. Dữ liệu on-chain cho thấy khoảng 11,86 triệu đến 18 triệu USDC đã bị rút ra, tương đương 32–35% TVL của vault tại thời điểm tấn công (ước tính khoảng 34 triệu USD). Giao dịch khai thác chính có thể xác minh công khai trên Arbiscan.
Ostium là một trong những sàn DEX hợp đồng vĩnh cửu phi tập trung hàng đầu tập trung vào tài sản thực, bao gồm cổ phiếu, hàng hóa, ngoại hối và các chỉ số tài chính.
Nhà đầu tư lớn, tổn thất nặng nề
Trước vụ việc, Ostium đã huy động được khoảng 27,8 triệu USD từ các nhà đầu tư tổ chức hàng đầu như General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute và GSR. Dù được hậu thuẫn mạnh về tài chính và đã trải qua nhiều vòng kiểm toán bảo mật, giao thức vẫn không tránh khỏi lỗ hổng liên quan đến quản lý khóa oracle.
Vụ tấn công cho thấy rủi ro dai dẳng trong hạ tầng RWA phụ thuộc vào oracle: ngay cả các dự án được tài trợ tốt và kiểm toán kỹ lưỡng vẫn có thể dễ bị tổn thương trước các cuộc tấn công chiếm đoạt khóa riêng tư.
Phản ứng và khuyến cáo
Vụ việc hiện đang được điều tra tích cực. Người dùng được khuyến cáo theo dõi các kênh thông tin chính thức của Ostium để cập nhật hướng dẫn rút tiền và các bản vá bảo mật.
Sự cố này nhấn mạnh sự cần thiết phải tăng cường quản lý khóa oracle và triển khai hệ thống giám sát theo thời gian thực trong các giao thức DeFi lai. Theo giới phân tích bảo mật, khi lĩnh vực RWA perpetuals tiếp tục tăng trưởng mạnh, các nền tảng tương tự có thể sẽ phải đối mặt với sự giám sát chặt chẽ hơn trong thời gian tới.
/ Bài viết liên quan
DEX Arcus mở rộng với cổ phiếu token hóa và hợp đồng vĩnh viễn trên Robinhood Chain
Arcus, sàn giao dịch phi tập trung do đội ngũ dYdX xây dựng và được Robinhood hậu thuẫn, vừa mở rộng nền tảng với việc tích hợp cổ phiếu token hóa và hợp đồng tương lai vĩnh viễn (perpetual futures) trên Robinhood Chain. Động thái này diễn ra trong bối cảnh các nền tảng DeFi đang chạy đua đưa tài sản truyền thống lên onchain.
Morpho ra mắt giao thức cho vay lãi suất cố định Midnight trên Base
Morpho vừa triển khai Morpho Midnight — giao thức cho vay lãi suất cố định với kỳ hạn xác định — trên mạng Base. Sản phẩm mới bổ sung cho Morpho Blue vốn đang hoạt động theo mô hình lãi suất biến đổi, mở rộng danh mục DeFi lending của giao thức này.
Hyperliquid ra mắt HIP-4: Thị trường không cần cấp phép, yêu cầu stake 500K HYPE
Hyperliquid vừa triển khai nâng cấp HIP-4, cho phép tạo thị trường giao dịch mà không cần xin phép (permissionless markets), với điều kiện người dùng phải stake tối thiểu 500.000 token HYPE. Thị trường dự báo hiện ghi nhận xác suất 29,5% cho khả năng giá HYPE đạt 100 USD vào cuối năm 2026.
Blockworks ra mắt dashboard vaults DeFi, theo dõi 7 tỷ USD AUM trên 24 blockchain
Blockworks Research vừa ra mắt dashboard chuyên theo dõi lĩnh vực vaults DeFi, ghi nhận tổng tài sản quản lý (AUM) đạt 7 tỷ USD. Công cụ này tổng hợp dữ liệu từ 59 curator, 132 tài sản và 24 blockchain khác nhau, phản ánh đà tăng trưởng mạnh của mảng vault trong hệ sinh thái DeFi.