Ostium RWA : une brèche de sécurité de 18 millions de dollars ébranle la plateforme DEX perpétuelle

Un pirate a dérobé 18 millions de dollars en USDC du coffre-fort d'Ostium sur Arbitrum, exploitant une faille critique de manipulation des prix. La société de sécurité Blockaid a révélé l'incident sur X, précisant que l'attaquant a utilisé un service de transmission PriceUpKeep enregistré pour soumettre des rapports d'oracle antidatés. Cette manœuvre lui a permis d'enregistrer des profits sur des transactions fictives, le système de paiement libérant les fonds en USDC. Blockaid estime l'impact à environ 18 millions de dollars, soulignant une vulnérabilité systémique dans les oracles de prix.

Qu'est-il arrivé à Ostium ?

La société de sécurité ExVul a écrit sur X : « L'attaque provient d'une compromission de clé privée (signataire oracle) entraînant une manipulation des prix. »

Defimon Alerts est parvenu à une conclusion similaire, qualifiant l'événement de compromission de la clé privée d'un signataire d'oracle privilégié ayant entraîné une manipulation des prix. Les deux analyses pointent du doigt la couche oracle d'Ostium comme maillon faible.

Il existe toutefois un consensus total sur le montant total perdu suite à cette faille. Blockaid indique que celle-ci a entraîné le versement d'environ 18 millions de dollars en USDC depuis son coffre-fort 

ExVul a signalé que 11,86 millions de dollars en USDC ont quitté le coffre-fort, soit environ 32 % des 34,3 millions de dollars de valeur totale bloquée (TVL) d'Ostium. Defimon Alerts a enregistré un chiffre encore plus élevé, indiquant qu'Ostium a perdu environ 20 millions de dollars. Cependant, ce site a également mentionné que 11 862 445 USDC ont été retirés du coffre-fort.

Ostium est une plateforme d'échange perpétuelle basée sur Arbitrum qui permet de trader à effet de levier des actifs tels que les devises, les matières premières, les métaux et les actions directement depuis un portefeuille auto-conservateur. Elle a été l'une des premières plateformes DeFi à proposer ce type d'exposition aux marchés traditionnels sur la blockchain.

Ostium a récemment annoncé un soutien institutionnel et une mise à niveau de sa plateforme 

Fin avril, Ostium a déployé ce qu'elle a appelé une couche d'exécution décentralisée, un système qui achemine les ordres sur la blockchain vers des partenaires institutionnels hors chaîne à des fins de couverture. La raison, selon le cofondateur et directeur technique Marco Antonio Ribeiro, était de connecter les contrats intelligentstracsystèmes de messagerie institutionnels avec une latence inférieure à 100 millisecondes.

Ostium a finalisé une levée de fonds de série A de 20 millions de dollars en décembre 2025, co-dirigée par General Catalyst et Jump, selon les informations de financement de DefiLlama, qui mentionnent également Coinbase Ventures, Wintermute Ventures et GSR parmi les investisseurs. D'autres sources indiquent que la société aurait levé un total de 27,8 millions de dollars.

DefiLlama indique actuellement qu'Ostium détient une valeur totale bloquée de 63,33 millions de dollars, le tout sur Arbitrum, avec un volume cumulé perpétuel de plus de 60 milliards de dollars depuis son lancement. 

Un nouvel épisode brutal pour la sécurité des cryptomonnaies

Ostium vient désormais rejoindre la liste croissante des entreprises ayant subi une violation de données en 2026.

Le deuxième trimestre 2026 s'est clôturé comme le trimestre le plus touché par les attaques jamais enregistrédent avec environ 83 exploits distincts jusqu'à fin juin.

Nous sommes déjà à la mi-juillet et la liste ne cesse de s'allonger. Lesdentd'administrateur compromis et la manipulation des prix ont représenté environ 37 % de ces pertes, et le vol de clés privées, 5,7 % supplémentaires. 

Une compromission de signature d'oracle du type décrit chez Ostium s'inscrit parfaitement dans cette tendance d'attaques visant les accès privilégiés.

Ostium a reconnu la faille, écrivant sur X : « Nous sommes conscients du problème avec le coffre-fort OLP. Toutes les transactions sont suspendues. Notre équipe enquête. » Pour l’instant, l’entreprise n’a publié aucune déclaration concernant l’ampleur des pertes.

Les plus grands experts en cryptomonnaies lisent déjà notre newsletter. Envie d'en faire partie ? Rejoignez-les !