Arbitrum上RWA永续合约平台Ostium遭骇1800万美元，预言机私钥外泄

Arbitrum 生態系傳出重大安全事件！專注於真實世界資產（RWA）的去中心化永續合約平台 Ostium 驚傳遭駭，因預言機（Oracle）私鑰外洩，遭駭客惡意操縱價格，損失高達 1,800 萬美元 USDC，約佔其金庫資金的 35%。目前官方正緊急展開調查。

（前情提要：Dragonfly合夥人：DeFi「駭客末日」並未兌現，2026年被盜金額年化僅18.9億美元）

（背景補充：Robinhood 創辦人直播洩助記詞！駭客炒 Meme 幣，交易量飆 2000 萬美元）

去中心化金融（DeFi）領域的安全防線再度面臨嚴峻考驗。台北時間 2026 年 7 月 15 日，部署於 Arbitrum 網路上的真實世界資產（RWA）永續合約平台 Ostium 爆發嚴重安全漏洞，導致其流動性金庫遭到駭客大肆洗劫。

預言機私鑰外洩，駭客狂刷 900% 暴利 根據 Blockaid 等多家區塊鏈安全機構的初步調查，本次攻擊的核心並非智能合約本身的代碼漏洞，而是致命的「預言機密鑰管理」疏失。攻擊者疑似取得了預言機簽名者（Oracle signer）的私鑰，藉此繞過系統驗證，並恣意提交遭到操縱的價格數據。

Blockaid detected an @Ostium Vault exploit on Arbitrum. An attacker used a registered PriceUpKeep forwarder and future-dated authorized oracle reports to create artificial trade profit, triggering a ~$18M USDC payout from the vault.More details in — Blockaid (@blockaid_) July 15, 2026 駭客利用已註冊的轉發器（PriceUpKeep forwarder）提交了未來日期的授權預言機報告，藉此偽造對自身有利的資產價格。其作案手法為：先使用少量的 USDC 開設比特幣（BTC）多頭部位，接著提交低價報告開倉，再提交高價報告平倉，瞬間觸發平台設定的最高 900% 利潤上限。透過委託操作（Delegated actions），駭客將此循環重複了約 20 次，不斷從流動性金庫中榨取資金。

損失逾 1,800 萬美元，資金已分散轉移 據 Arbiscan 鏈上數據顯示，本次攻擊導致 Ostium 主流動性金庫流失了約 1,186 萬至 1,800 萬美元的 USDC。這筆龐大的損失約佔該平台總金庫規模（超過 3,400 萬美元）的 35%。目前，駭客已將部分贓款兌換為以太坊（ETH），並分散轉移至多個不同的錢包地址，企圖規避追蹤。

曾獲頂級機構 2780 萬鎂融資，官方急調查 Ostium 是一個專注於股票、商品、外匯與指數等非加密資產的去中心化永續合約平台，其非加密資產的未平倉量佔比高達 95% 以上，並採用 Stork Network 等預言機服務。該平台過去表現亮眼，累計交易量已突破 500 億美元，並曾獲得 General Catalyst、Jump Crypto 以及 Coinbase Ventures 等頂級創投高達 2,780 萬美元的融資。

截至發稿時，Ostium 團隊仍在對此事件進行全面調查，尚未發布完整的官方事後檢討報告。官方呼籲用戶密切關注其 X（前 Twitter）與 Discord 等官方頻道的最新公告，以獲取後續的提款指引與安全更新。這起事件也再次為整個 RWA 與 DeFi 賽道敲響了警鐘，凸顯了預言機密鑰管理與即時監控機制的絕對重要性。