Ostium Exploit: 23,75 Mio. USDC durch falsche Preisdaten

Beim Ostium Exploit wurden 23.752.746 USDC aus dem öffentlichen OLP-Liquiditätstresor abgezogen. Das am 29. Juli 2026 veröffentlichte Post-Mortem führt den Angriff auf einen unbefugten Zugriff auf Offchain-Infrastruktur zurück: Der Angreifer konnte manipulierte BTC-USD-Preisdaten einreichen und damit künstliche Handelsgewinne erzeugen. Ostium meldet keinen Fehler in der Smart-Contract-Logik und keine Kompromittierung der Protokoll-Multisigs.

Die entscheidende Grenze für Nutzer: Laut Ostiums technischem Abschlussbericht stammte der Abfluss aus dem OLP-Vault, der als Gegenpartei für Trades dient. Sicherheiten und Margen der Trader lagen in getrennten Handelsverträgen und seien nicht betroffen gewesen. Liquiditätsgeber warten dagegen noch auf einen angekündigten Wiederherstellungsplan.

Ostium Exploit: Das Wichtigste

• Bestätigter Abfluss: Ostium beziffert den Verlust des OLP-Vaults auf 23.752.746 USDC.
• Angriffsweg: Ein unbefugter Zugriff auf Offchain-Infrastruktur ermöglichte gefälschte BTC-USD-Preisberichte.
• Auszahlung: Die manipulierten Preise erzeugten künstliche Handelsgewinne, die aus dem öffentlichen Liquiditätstresor ausgezahlt wurden.
• Nicht betroffen: Nach Ostiums Untersuchung gab es keinen Fehler in der Smart-Contract-Logik und keine kompromittierte Protokoll-Multisig.
• Trader-Gelder: Sicherheiten und Margen der Trader seien in separaten Verträgen verblieben.
• Weiter offen: Der konkrete Wiederherstellungsplan für Liquiditätsgeber wurde noch nicht veröffentlicht.

Wie manipulierte Preisdaten den OLP-Vault leerten

Ostium ist eine Onchain-Handelsplattform für gehebelte Märkte. Damit ein Smart Contract Positionen auf Bitcoin, Aktienindizes, Rohstoffe oder Devisen abrechnen kann, benötigt er Preise aus der Außenwelt. Genau an dieser Verbindung zwischen Offchain-System und Blockchain setzte der Angriff vom 15. Juli an.

Dem Post-Mortem zufolge nutzte der Angreifer bereits registrierte Weiterleitungspfade, um betrügerische BTC-USD-Preisberichte einzureichen. Zunächst wurde der Weg mit einer Position über 100 USDC getestet, aus der ungefähr 897,8 USDC künstlicher Gewinn entstand. Danach folgte ein größerer Durchlauf mit rund 11,9 Millionen USDC Auszahlung sowie sechs weitere Zyklen. Insgesamt verließen 23.752.746 USDC den OLP-Vault.

Galaxy Research rekonstruierte die Abflüsse unabhängig anhand der Onchain-Transaktionen. Die Analyse zeigt eine Folge von acht Auszahlungen und ordnet den Vorfall einer kompromittierten Preis- beziehungsweise Signatur-Infrastruktur zu. Die Blockchain dokumentiert damit die Auszahlungen; die Aussage zum ursprünglichen Offchain-Zugriff beruht auf Ostiums interner Untersuchung.

Warum ein intakter Smart Contract nicht genügte

Ein Smart Contract kann formal korrekt arbeiten und trotzdem falsche Ergebnisse auszahlen, wenn eine autorisierte Datenquelle manipulierte Werte liefert. Der Vertrag sieht dann einen gültig wirkenden Preisbericht und führt die vorgesehene Abrechnung aus. Das Sicherheitsproblem liegt nicht zwingend im Rechencode des Vertrags, sondern in Berechtigungen, Schlüsseln, Servern und Plausibilitätskontrollen rund um die Dateneinspeisung.

Das unterscheidet den Fall vom AFX Bridge Exploit auf Arbitrum. Dort betraf der bekannte Abfluss eine eigenständige Custody-Bridge; beim Ostium Exploit wurden dagegen legitime Handels- und Auszahlungspfade mit manipulierten Marktdaten ausgelöst. Beide Vorfälle zeigen jedoch, dass die Sicherheit einer Anwendung nicht mit der Sicherheit des Arbitrum-Netzwerks gleichgesetzt werden darf.

Ostiums öffentliche Übersicht der Smart-Contract-Audits macht zudem deutlich, dass Audits einen definierten technischen Umfang haben. Ein geprüfter Vertrag ist kein Nachweis dafür, dass jede Serverkomponente, jeder operative Schlüssel und jeder Datenlieferweg gleichermaßen abgesichert wurde.

Wer vom Ostium Exploit betroffen ist

Der OLP-Vault stellt die Gegenpartei für Handelspositionen. Sein Kapital stammt von Liquiditätsgebern, die dafür am wirtschaftlichen Ergebnis des Pools beteiligt sind. Der bestätigte Abfluss trifft deshalb zunächst diese Liquiditätsschicht. Ostium kündigte einen separaten Wiederherstellungsplan für Liquiditätsgeber an, veröffentlichte im Post-Mortem aber noch keine verbindliche Quote, keinen Zeitplan und keine vollständige Erstattung.

Trader-Sicherheiten sind nach Angaben des Protokolls getrennt. Sie verblieben in den Handelsverträgen und seien nicht für die betrügerischen Auszahlungen verwendet worden. Diese Aussage ist wichtig, darf aber nicht mit einer Garantie für jede individuelle Position verwechselt werden. Nutzer sollten Status, Auszahlbarkeit und mögliche Einschränkungen direkt im eigenen Konto und über offizielle Ostium-Kanäle prüfen.

Die Trennung von Blockchain und Betriebsinfrastruktur ähnelt der Lehre aus dem Coinbase-Postmortem zur 50-minütigen Störung: Auch dort lag die Ursache in einem operativen System außerhalb des eigentlichen Blockchain-Konsenses. Der Ostium-Fall ist wirtschaftlich schwerer, weil falsche Eingaben nicht nur Verfügbarkeit beeinträchtigten, sondern Auszahlungen aus einem finanzierten Vault auslösten.

Welche Schutzmaßnahmen Ostium nennt

Ostium meldet, die betroffene Umgebung isoliert, neu aufgebaut und mit aktualisierten Sicherheitskontrollen versehen zu haben. Der Handel wurde am 23. Juli wieder aufgenommen. Automatisierte Überwachung habe die verdächtige Aktivität erkannt und weitere Auszahlungen verhindert. Das Post-Mortem nennt jedoch nicht alle operativen Details, die ein unabhängiger Prüfer für eine vollständige Bewertung der neuen Kontrollen benötigen würde.

• Datenquellen absichern: Preisberichte sollten nicht von einem einzelnen kompromittierbaren Pfad abhängen.
• Plausibilität prüfen: Abweichungen zu unabhängigen Referenzpreisen und ungewöhnliche Zeitstempel können automatische Stopps auslösen.
• Auszahlungen begrenzen: Geschwindigkeits- und Größenlimits können den Schaden eines gültig wirkenden, aber falschen Signals begrenzen.
• Offchain-Systeme auditieren: Prüfungen müssen Server, Schlüsselverwaltung, Berechtigungen und Notfallprozesse ausdrücklich einbeziehen.
• Reaktion dokumentieren: Liquiditätsgeber benötigen eine nachvollziehbare Verlustbilanz, Verantwortlichkeiten und einen überprüfbaren Wiederherstellungsplan.

Was Nutzer und Liquiditätsgeber prüfen sollten

• Eigene Rolle klären: Trader-Margin und eine Beteiligung am OLP-Vault sind wirtschaftlich unterschiedliche Positionen.
• Nur offizielle Mitteilungen nutzen: Nach Exploits treten häufig gefälschte Erstattungsseiten und Support-Nachrichten auf.
• Keine Seed Phrase teilen: Eine legitime Wiederherstellung verlangt niemals die Herausgabe privater Schlüssel.
• Erstattungsversprechen abwarten: Bis zum angekündigten Plan sind Höhe, Form und Zeitpunkt möglicher Ausgleichszahlungen offen.
• Offchain-Risiko berücksichtigen: Audits und ein intakter Smart Contract decken nicht automatisch Oracle-, Server- und Schlüsselrisiken ab.

Diese Einordnung ist keine Anlageberatung und keine Empfehlung, Positionen zu eröffnen, zu schließen oder Liquidität bereitzustellen. Der Fall befindet sich trotz veröffentlichtem Ursachenbericht wirtschaftlich noch in der Aufarbeitung.

Fazit zum Ostium Exploit

Der Ostium Exploit zeigt eine zentrale Grenze von „Code ist Gesetz“: Ein unveränderter Vertrag kann korrekte Regeln auf manipulierte Eingangsdaten anwenden und dadurch reale Verluste verursachen. Nach Ostiums Untersuchung führte ein kompromittierter Offchain-Zugriff zu falschen BTC-USD-Berichten und 23,75 Millionen USDC künstlichen Auszahlungen aus dem OLP-Vault.

Trader-Sicherheiten blieben laut Protokoll getrennt, während Liquiditätsgeber auf konkrete Angaben zur Wiederherstellung warten. Entscheidend sind nun eine unabhängig nachvollziehbare Bewertung der neuen Kontrollen und der angekündigte Ausgleichsplan. Stand der Recherche ist der 30. Juli 2026, 09:35 Uhr MESZ.

Quellen

• Ostium: Post-Mortem zum Angriff auf den OLP-Vault, 29. Juli 2026 (Primärquelle zu Ursache, Ablauf, Verlustsumme, betroffenen Mitteln und Maßnahmen).
• Ostium-Dokumentation: Smart-Contract-Audits, abgerufen am 30. Juli 2026 (Primärquelle zum Umfang der veröffentlichten Prüfungen).
• Galaxy Research: Ostium Left an Opening for Exploiters and $24m Went Out the Door, 17. Juli 2026 (unabhängige Onchain-Analyse der Auszahlungen und Sicherheitsarchitektur).
• The Block: Ostium blames off-chain breach for $24 million exploit, 30. Juli 2026 (unabhängige Sekundärquelle zur Veröffentlichung des Post-Mortems).