Arbitrum永续合约平台Ostium遭攻击损失2375万USDC，本周重启交易

基于Arbitrum的去中心化永续合约交易所Ostium于7月20日宣布，计划在本周恢复交易，距离其流动性金库遭黑客攻击约5天。自7月15日资金被冻结以来，交易者和流动性提供者将首次有机会处理头寸。

Ostium表示，重启交易前将至少提前24小时通知，目前审计机构、外部网络安全专家及其内部工程师正在进行最终检查。平台重新上线后，现有头寸将以重启时的价格重新开仓。

Ostium在Arbitrum上运行去中心化永续合约市场，用户可使用自托管钱包对外汇、大宗商品、金属、股票和加密货币进行杠杆交易，以USDC结算。据DefiLlama数据，其于2025年12月完成了由General Catalyst和Jump联合领投的2000万美元A轮融资。

攻击细节方面，Ostium在7月19日的X帖子中确认损失为23,752,746 USDC，这是迄今最精确的数字。资金被盗自Ostium流动性池——流动性提供者存入USDC以支持交易者头寸并结算盈亏的保险库。Ostium补充称，用户头寸仍处于开放但不可修改状态，交易者保证金在冻结的智能合约中未受影响。

此前对于损失金额存在不同说法：安全公司Blockaid报告约1800万美元，另有报道称2000万美元，而Ostium自身核算与Galaxy Research的分析均确认为2375万美元。

安全公司Galaxy指出，攻击者持有两个本应由Ostium治理分发的合法凭证：授权预言机签名密钥和注册的PriceUpKeep转发器（负责执行待处理订单的角色）。Ostium的验证器会检查价格报告是否由批准签名者签署，但未核实价格真实性。攻击者利用这两个凭证向系统提交了正确签名的未来日期价格，并以此进行交易。安全公司Halborn详细描述了机制：攻击者以捏造的5000美元价格开设比特币多头头寸，随后以接近60000美元的真实市价平仓，赚取差价。Halborn估计该方案在十轮操作中每轮获得约900%利润。Halborn还指出，被利用的PriceUpKeep基础设施未被纳入Ostium的漏洞赏金计划范围，降低了研究人员优先发现的可能性。

被盗USDC并未停留。PeckShieldAlert报告称，攻击者将赃款兑换为12,080枚ETH，并向混币器Tornado Cash发送了10,540枚ETH。

Ostium于7月16日首次向社区通报此事，仅表示交易暂停并已通知当局。该公司承诺未来几天发布技术事后分析报告。对于完全承担损失的流动性提供者，Ostium表示仍在研究补偿方案，尚未公布具体细节。