La plateforme de trading perpétuel Ostium, déployée sur Arbitrum, a livré le 30 juillet 2026 les conclusions de son post-mortem : 23,75 millions de dollars en USDC ont été siphonnés depuis le coffre-fort OLP (Ostium Liquidity Pool), non pas par une faille dans les contrats intelligents, mais via une compromission de son infrastructure hors chaîne. L’incident relance le débat sur la chaîne de confiance entre oracles, keepers (bots chargés de pousser les prix) et logique on-chain.
🔑 En bref
- 23,75 M$ en USDC dérobés le 15 juillet 2026 sur le coffre-fort OLP d’Ostium (Arbitrum).
- Origine : un forwarder PriceUpKeep compromis et des rapports de prix BTC-USD frauduleux, aucune faille dans les smart contracts.
- 8 transactions en 5 min 29 s vers le portefeuille 0x321D…bfD9, puis blanchiment via KyberSwap et Tornado Cash.
- Reprise du trading le 23 juillet 2026 ; les marges des traders sont intactes, un plan de récupération pour les LP est en cours.
- L’incident rappelle la vague d’exploits Summer.fi, Drift et KelpDAO, où l’infrastructure opérationnelle, plus que le code, est visée.
Un post-mortem qui écarte la piste du smart contract
L’équipe d’Ostium a publié le 30 juillet 2026 un rapport détaillé sur l’exploitation survenue quinze jours plus tôt. Verdict : aucune trace de vulnérabilité dans la logique des contrats ni de compromission des multisigs (portefeuilles à signatures multiples) qui gouvernent le protocole. Comme l’a résumé l’équipe :
« D’après notre investigation, nous n’avons aucune preuve que cet incident résultait d’une vulnérabilité dans la logique du code des contrats intelligents d’Ostium ou d’une compromission des multisigs qui gouvernent le protocole. »
Équipe Ostium, post-mortem du 30 juillet 2026
L’attaque a combiné deux éléments : un forwarder PriceUpKeep enregistré, capable de déclencher lui-même la livraison des prix, et un rapport de prix falsifié qui a passé la vérification de signature du contrat. Le prix manipulait les données pour simuler des transactions rentables, déclenchant le versement automatique de millions de dollars depuis le coffre-fort. La signature était valide, le rapport aussi : c’est la source hors chaîne qui était compromise.
Le fondateur d’Ostium, connu sous le pseudonyme kaledora, a précisé la chronologie : « Ce matin, entre 14h18 et 14h23 UTC, Ostium a connu un problème de sécurité entraînant une perte de fonds depuis le coffre-fort OLP public. Notre équipe a identifié le problème en quelques minutes et a immédiatement commencé à le contenir, en coordonnant la pause des contrats de trading en moins d’une heure. »
Trois minutes vingt-neuf : le détail des huit transactions
L’attaquant a d’abord testé son approche avec une position de 100 USDC, générant environ 897,80 USDC de profit artificiel. Le test réussi, il a enchaîné avec le lot principal : un transfert de 11,86 millions d’USDC vers le portefeuille bénéficiaire. Six cycles autonomes ont suivi, avant que le système de surveillance automatisé d’Ostium ne bloque l’ensemble. Au total, 8 transactions en 5 min 29 s, toutes à destination du portefeuille 0x321Df194646029e7A6193Ea05573d4B9c398bfD9.
Montants extraits par transaction
| # | Montant (USDC) | Type |
|---|---|---|
| 1 | 898 | Test |
| 2 | 11 860 000 | Lot principal |
| 3 | 13 480 | Cycle auto |
| 4 | 13 480 | Cycle auto |
| 5 | 4 490 000 | Cycle auto |
| 6 | 3 590 000 | Cycle auto |
| 7 | 2 700 000 | Cycle auto |
| 8 | 1 080 000 | Cycle auto |
| Total | 23 747 858 | — |
Le coffre-fort OLP ciblé se trouve à l’adresse 0x20D419a8e12C45f88fDA7c5760bb6923Cee27F98. Le contrat PrivatePriceUpKeep utilisé dans l’attaque est déployé à 0xB71ec9eBD8145daCaCF6724363143cb5667A3D36. Le PriceUpKeep public, inscrit dans la liste d’audit, n’a pas été utilisé : son activité s’était déjà arrêtée avant l’exploitation.
Blanchiment express : KyberSwap puis Tornado Cash
Dès l’extraction terminée, le portefeuille de l’attaquant – financé initialement par 1 ETH provenant de ChangeNOW et 1 ETH de Bybit – a blanchi les fonds. Selon les données de PeckShield, l’intégralité des 23,75 M$ a été convertie en 12 084 ETH via KyberSwap, à un prix moyen d’environ 1 966 dollars par ETH. Ces ETH ont ensuite été répartis entre 30 portefeuilles contrôlés par l’attaquant.
La journée même, 10 540 ETH étaient déposés dans Tornado Cash, le mixeur (service d’anonymisation de transactions) au cœur de nombreuses enquêtes de l’OFAC (bureau de contrôle des actifs étrangers du Trésor américain). Au moment de la rédaction, environ 4 millions de dollars restent dans les portefeuilles de l’attaquant, le reste ayant traversé le mixer. Cyvers a fourni la cartographie la plus complète : ChangeNOW sur Ethereum, pont vers Arbitrum, conversion totale USDC vers ETH, puis dispersion dans plusieurs portefeuilles.
« Un attaquant a utilisé un forwarder PriceUpKeep enregistré et des rapports oracle autorisés avec date future pour créer un profit commercial artificiel, déclenchant un paiement d’environ 18 millions de dollars en USDC depuis le coffre-fort. »
Blockaid, détection en temps réel
L’écart entre l’estimation initiale de Blockaid (environ 18 M$) et le total final (23,75 M$) illustre les défis de l’évaluation en temps réel d’un drain en chaîne. Six cycles autonomes supplémentaires ont continué à extraire des fonds après la première alerte.
Un bug bounty hors scope et une faille de gouvernance
L’affaire met en lumière une contradiction dans le programme de chasse aux bugs d’Ostium sur Immunefi. Le protocole avait explicitement exclu le chemin du keeper de sa portée, le qualifiant de « supposé être digne de confiance et fonctionner correctement ». Les scénarios nécessitant un keeper compromis ou malveillant étaient donc hors scope, et donc non récompensés.
« Quand la porte que vous avez laissée déverrouillée est celle que vous avez dit à tout le monde de ne pas vérifier, est-ce encore une effraction ? »
Rekt News, éditorial post-exploit
Pire : la mise à jour du registre d’Ostium datée du 14 février 2026, soit 151 jours avant l’exploitation, avait ajouté quatre signataires autorisés. L’adresse du signataire identifié dans l’attaque figurait parmi les signataires approuvés dès le départ. Le protocole a depuis migré vers un nouvel environnement de production avec des contrôles de sécurité mis à jour, et a repris ses activités le 23 juillet. L’équipe précise que les marges des traders sont restées dans les contrats de trading, et qu’un plan de récupération distinct pour les fournisseurs de liquidité est en cours de finalisation.
Une série noire pour la DeFi
L’incident d’Ostium s’inscrit dans une série d’exploitations récentes de la finance décentralisée. La semaine précédente, Summer.fi avait subi un drain de 6 millions de dollars. Plus tôt, Drift et KelpDAO avaient été touchés par des attaques au profil similaire. Comme le note Galaxy Digital :
« Une tendance commune a été que les contrats intelligents et la logique qu’ils contiennent ont tenu, et les principales cibles des exploiteurs ont été l’infrastructure opérationnelle et la confiance humaine. »
Galaxy Digital, rapport d’analyse
Le contexte financier d’Ostium donnait pourtant une assise solide. Le protocole avait traité plus de 50 milliards de dollars de volume de trading cumulé et levé au total 27,8 millions de dollars, dont une série A de 24 millions co-dirigée par General Catalyst et Jump Crypto fin 2025. En mai 2026, Ostium avait même annoncé un partenariat avec Nasdaq pour alimenter des produits perpétuels sur actions à partir des données de marché de l’opérateur boursier. L’attaque ne remet pas en cause la solidité du code, mais elle fragilise la promesse d’infrastructure « digne de confiance » qui structurait le programme de sécurité du protocole.
Conclusion : vers une redéfinition du périmètre de confiance
L’affaire Ostium illustre une évolution structurelle de la menace en DeFi : le code reste rarement la faille, ce sont désormais les couches opérationnelles – keepers, forwarders, opérateurs externes, gouvernance – qui concentrent le risque. L’écart entre 18 M$ (estimation initiale) et 23,75 M$ (montant final) montre par ailleurs qu’une seule fenêtre de quelques minutes peut suffire à un attaquant pour multiplier les cycles de drainage automatisés.
Pour Ostium, les prochains jours seront décisifs : finalisation du plan de remboursement des fournisseurs de liquidité, durcissement du nouveau périmètre de bug bounty, et restauration de la crédibilité avant l’ouverture des produits perpétuels sur actions Nasdaq. Pour l’écosystème, l’enjeu est plus large : redéfinir ce qui relève du « trust assumption » (hypothèse de confiance) et ce qui doit être traité comme un vecteur d’attaque à part entière.
Sources
- The Block – Ostium post-mortem exploit
- SC World – Ostium loses $23.75M in off-chain exploit
- Galaxy Digital – Ostium research note
- Rekt News – Ostium rekt
- TradingView – Ostium halts trading after oracle key breach
- CoinDesk – Ostium $18M exploit, oracle attack wave
Cet article est publié à titre informatif et éducatif. Il ne constitue en aucun cas un conseil en investissement. Faites vos propres recherches (DYOR) avant toute décision.
