Ostium verpflichtet sich, die Verluste der Liquiditätsanbieter im Rahmen des Neustartplans zu decken

Ostium plant, den Handel diese Woche wieder aufzunehmen, etwa fünf Tage nachdem ein Angreifer die Liquiditätsreserven der Börse geplündert hatte, teilte die bei Arbitrum ansässige Börse am Montag, dem 20. Juli, mit. Die Gelder von Händlern und Liquiditätsanbietern waren seit dem 15. Juli eingefroren, und die Wiederaufnahme des Handels bietet ihnen die erste Möglichkeit seit fast einer Woche, ihre Positionen zu handeln.

Das Unternehmen teilte mit , dass es mindestens 24 Stunden vor der Wiederaufnahme des Handels informieren werde und dass zuvor noch abschließende Kontrollen durch Wirtschaftsprüfer, externe Cybersicherheitsexperten und eigene Ingenieure durchgeführt würden.

Sobald die Plattform wieder online ist, werden bestehende Positionen zum Preis, der zum Zeitpunkt des Neustarts gilt, wiedereröffnet.

Ostium betreibt eine dezentrale Plattform für Perpetual-Optionen auf Arbitrum, die es Nutzern ermöglicht, mit Hebelwirkung auf Devisen, Rohstoffe, Metalle, Aktien und Kryptowährungen zu spekulieren. Die Transaktionen werden über eine selbstverwaltete Wallet abgewickelt und in USDC abgerechnet. Laut DefiLlama schloss das Unternehmen im Dezember 2025 eine Serie-A-Finanzierungsrunde über 20 Millionen US-Dollar ab, die von General Catalyst und Jump gemeinsam angeführt wurde.

Was wurde während des Ostium-Exploits erbeutet und was nicht?

Ostium bezifferte den Verlust in einem Beitrag vom 19. Juli auf X auf 23.752.746 USDC – die bisher präziseste Angabe. Der Diebstahl betraf den Ostium Liquidity Pool, den Tresor, in dem Liquiditätsanbieter USDC hinterlegen, um Händlerpositionen abzusichern und Gewinne und Verluste auszugleichen.

In einem Folgebeitrag, der nach der Bestätigung des Exploits veröffentlicht wurde, erklärte Ostium, dass „die Positionen der Nutzer offen und unveränderlich bleiben und die Händlermarge in eingefrorenen Smart Contracts unberührt bleibttrac.

Anfangs herrschte kein Konsens über die Angaben zur Höhe des geschätzten Verlustes. Das Sicherheitsunternehmen Blockaid bezifferte den Verlust auf rund 18 Millionen US-Dollar. Eine andere Quelle gab ihn mit 20 Millionen US-Dollar an, während sowohl Ostiums eigene Buchhaltung als auch eine Untersuchung von Galaxy Research einen Verlust von 23,75 Millionen US-Dollar ergaben.

Ein Signaturschlüssel, kein Smart-trac-Bug

Laut Galaxy besaß der Angreifer zwei legitimedent, die ausschließlich von der Ostium-Governance ausgegeben werden dürfen: einen autorisierten Oracle-Signaturschlüssel und einen registrierten PriceUpKeep-Forwarder, die Rolle, die ausstehende Aufträge ausführt. 

Der Prüfmechanismus von Ostium überprüft, ob ein Preisbericht von einem autorisierten Unterzeichner signiert wurde, jedoch nicht, ob der Preis tatsächlich existiert. Mit beidendentkonnte der Angreifer dem System einen korrekt signierten, zukünftigen Preis übermitteln und gegen diesen handeln.

Das Sicherheitsunternehmen Halborn beschrieb die Vorgehensweise detailliert und erklärte, dass der Angreifer eine Bitcoin Position zu einem erfundenen Preis von 5.000 US-Dollar eröffnete, sie dann zum realen Marktpreis von etwa 60.000 US-Dollar schloss und die Differenz einstrich. 

Halborn schätzte, dass das System über zehn Iterationen hinweg pro Runde einen Gewinn von rund 900 % erzielte. Das Sicherheitsunternehmen merkte außerdem an, dass die betroffene PriceUpKeep-Infrastruktur nicht im Bug-Bounty-Programm von Ostium enthalten war, wodurch die Wahrscheinlichkeit sank, dass ein Forscher sie zuerst entdeckt hätte.

Nach dem Abfluss der USDC blieb das gestohlene Geld nicht an Ort und Stelle. PeckShieldAlert berichtete, dass der Angreifer es gegen 12.080 ETH getauscht und 10.540 ETH an den Mixer Tornado Cashgesendet hatte.

Ostium informierte seine Community erstmals am 16. Juli über dendent und teilte lediglich mit, dass der Handel ausgesetzt und die Behörden benachrichtigt worden seien. Das Unternehmen kündigte eine technische Untersuchung in den kommenden Tagen an. 

Noch nicht detailliert dargelegt wurde, wie die Liquiditätsanbieter, die den gesamten Schaden getragen haben, entschädigt werden sollen. Man arbeite noch an einer Lösung für sie, hieß es.

Lesen Sie Krypto-News nicht nur, sondern verstehen Sie sie. Abonnieren Sie unseren Newsletter. Er ist kostenlos.