Hacker rouba US$ 18 milhões de exchange de criptomoedas em ataque sofisticado

A Ostium, uma exchange descentralizada (DEX) de contratos perpétuos baseada na rede Arbitrum, foi alvo de um ataque que resultou no desvio de aproximadamente US$ 18 milhões em USDC de seu cofre de liquidez. O exploit foi detectado e reportado pela empresa de segurança em blockchain Blockaid nesta quarta-feira (15).

🚗 O item mais vendido em acessórios para veículos; confira

O invasor usou a própria infraestrutura de relatórios de preços da Ostium contra o protocolo. Ao enviar dados de oráculo com timestamps (registros de data/hora) futuros manipulados, ele fez com que operações originalmente perdedoras parecessem altamente lucrativas. Essa distorção acionou automaticamente o pagamento milionário do cofre da plataforma.

Taurina, Vitamina D3, Colágeno, Creatina, Magnésio, Biotina e mais: veja a lista de 15 suplementos

Como funcionou o exploit do oráculo

A Ostium permite a negociação alavancada (em até 200 vezes) de ativos do mundo real (RWA), como ouro, moedas estrangeiras (forex) e índices de ações, liquidando todas as operações em USDC. Para manter os preços atualizados, a plataforma utiliza uma estrutura específica:

• Gelato Network: Uma rede de automação de contratos inteligentes responsável por enviar os feeds de preços para a blockchain no momento correto.

• PriceUpKeep: Um contrato inteligente que atua como o gatilho lógico, registrando os dados de preço sempre que uma negociação precisa ser executada.

O hacker explorou um componente autorizado dessa engrenagem — o encaminhador (forwarder) do contrato PriceUpKeep. Ao conseguir injetar relatórios de preços com datas futuras falsas, o invasor manipulou a validação do sistema, simulando lucros inexistentes que foram imediatamente sacados.

Ataques a sistemas de automação viram tendência em DeFi

O incidente com a Ostium não é um caso isolado, mas sim parte de um padrão preocupante de exploração de oráculos e sistemas de automação (keepers) que vem assolando o ecossistema DeFi.

Na semana anterior, a plataforma Summer.fi sofreu um ataque muito semelhante, resultando no roubo de US$ 6 milhões. Nestes cenários, os criminosos costumam identificar brechas em funções privilegiadas para manipular o tempo de atualização ou o conteúdo dos preços, drenando os pools de liquidez antes que os desenvolvedores consigam pausar os contratos.

Financiamento e volume de mercado

A Ostium vinha despontando como um dos nomes promissores do setor de RWA na Arbitrum. Antes do incidente, a startup havia arrecadado US$ 27,8 milhões em investimentos, valor que inclui uma rodada Série A de US$ 24 milhões liderada pelas gigantes General Catalyst e Jump Crypto no final de 2025. Até o momento do ataque, a exchange já havia processado mais de US$ 50 bilhões em volume acumulado de negociações.