Exploit do oráculo da Ostium: o que os provedores de liquidez devem fazer agora

17 de julho de 2026·8 min de leitura·Resposta a Incidentes

Em 15 de julho de 2026, entre 14:18 e 14:23 UTC, um atacante drenou aproximadamente 18 milhões de dólares em USDC do vault OLP (Ostium Liquidity Pool) da Ostium na Arbitrum. O exploit aproveitou uma chave de signatário de oráculo comprometida para injetar relatórios de preços falsos com data futura, gerando lucros artificiais pagos diretamente do vault. Se você depositou USDC no vault OLP da Ostium, seus fundos foram diretamente afetados. Este guia explica o que fazer agora.

Ação imediata necessária

Se você tinha USDC depositado no vault OLP da Ostium ou aprovações de tokens ativas para contratos da Ostium, revogue imediatamente essas aprovações usando Revoke.cash (Arbitrum). Não interaja com nenhuma pessoa não solicitada que afirme poder ajudá-lo a recuperar fundos.

1. O que aconteceu

A Ostium é uma exchange descentralizada de futuros perpétuos construída na Arbitrum que permite aos traders abrir posições alavancadas (até 200x) em ativos do mundo real como futuros S&P 500, ouro, commodities e moedas. O vault OLP funciona como camada de liquidação: os usuários depositam USDC no vault para atuar como contraparte dos traders, ganhando rendimento das taxas.

Em 15 de julho de 2026, entre 14:18 e 14:23 UTC, um atacante explorou o sistema de oráculo da Ostium obtendo acesso ao PriceUpKeep forwarder, responsável por enviar dados de preços externos on-chain. Em vez de preços de mercado legítimos, o atacante injetou relatórios de oráculo falsos com data futura para o par BTC/USD. Esses preços manipulados fizeram com que operações perdedoras parecessem altamente lucrativas, permitindo abrir e fechar posições a preços artificiais e fazer o protocolo pagar grandes somas do vault OLP.

As empresas de segurança Blockaid, Cyvers e Decurity detectaram as saídas suspeitas em tempo real. A Ostium confirmou o incidente e pausou todas as operações em menos de uma hora. O saldo do vault OLP caiu de aproximadamente 32,7 milhões para 9 milhões de USDC, uma perda de 72%. Os fundos roubados foram convertidos em ETH e canalizados através do Tornado Cash. Em 17 de julho de 2026, a Ostium não publicou um post-mortem definitivo nem anunciou um plano de compensação.

2. Quem foi afetado

Provedores de liquidez do vault OLP (afetados diretamente)

Se você depositou USDC no vault OLP da Ostium para obter rendimento, seus fundos estão em risco. O vault foi o alvo direto e sofreu uma queda de 72%. A extensão da recuperação individual dependerá do mecanismo de compensação da Ostium e da capacidade das autoridades de congelar os ativos roubados.

Traders com posições abertas

A Ostium declarou que a margem dos traders e as posições abertas estão congeladas e não foram roubadas. As operações permanecem suspensas. Monitore os canais oficiais da Ostium para atualizações. Seu colateral parece estar preservado, mas você não pode agir sobre posições até que as operações sejam retomadas.

Usuários com aprovações ativas

Qualquer carteira que tenha interagido com a Ostium pode ter aprovações de USDC ou outros tokens pendentes para contratos da Ostium. A própria Ostium aconselhou os usuários a revogar essas aprovações. Mesmo que você não tenha posições abertas, revogue-as agora como precaução.

3. Ações imediatas

Siga estes passos agora. A ordem importa: não pule nenhum.

Pare de interagir com os contratos da Ostium. Não tente fechar posições, sacar fundos ou interagir com qualquer interface da Ostium até orientação oficial.
Revogue todas as aprovações de tokens da Ostium na Arbitrum. Acesse revoke.cash/token-approval-checker/arbitrum, conecte sua carteira e revogue qualquer aprovação listada para um endereço de contrato da Ostium.
Documente todas as transações. Exporte o histórico de transações da carteira do Arbiscan. Registre cada depósito no vault OLP, incluindo datas, valores e hashes de transações.
Registre uma denúncia no FBI IC3. Acesse ic3.gov e envie uma reclamação com os endereços dos contratos da Ostium, hashes de suas transações e valores depositados.
Denuncie ao seu regulador financeiro local. Registre uma reclamação na autoridade de crimes financeiros do seu país (FCA no Reino Unido, BaFin na Alemanha, FINMA na Suíça, etc.).
Entre em contato com a exchange onde comprou USDC. Se comprou USDC em uma exchange centralizada antes de depositar na Ostium, entre em contato com a equipe de compliance com os endereços de carteira de destino.
Desconfie de golpes de recuperação. Após qualquer exploit DeFi importante, dados de vítimas circulam em redes criminosas. Qualquer pessoa que entre em contato de forma não solicitada pedindo taxas antecipadas em cripto está quase certamente aplicando um segundo golpe.

4. Como verificar se você foi afetado

Use estas ferramentas para verificar sua exposição:

Histórico de carteira no Arbiscan: Pesquise seu endereço em arbiscan.io. Qualquer transferência de USDC para o contrato vault OLP significa que você é um provedor de liquidez diretamente afetado.
Revoke.cash (Arbitrum): Visite revoke.cash/token-approval-checker/arbitrum e conecte sua carteira. Se algum contrato da Ostium aparecer como gastador aprovado, revogue imediatamente.
De.Fi Shield: Conecte sua carteira Arbitrum em de.fi para uma avaliação de riscos das aprovações ativas.
Comunicações oficiais da Ostium: Monitore o site e a documentação oficial da Ostium para atualizações sobre a linha do tempo do incidente e qualquer mecanismo de compensação.
DeFiLlama: Verifique defillama.com/protocol/ostium para o TVL atual.

5. Como a Recoveris pode ajudar

A Recoveris é uma empresa de inteligência blockchain especializada no rastreamento de criptoativos roubados. Em casos de comprometimento de chave de oráculo como o exploit da Ostium, a perícia blockchain desempenha um papel específico.

Os USDC roubados foram convertidos em ETH e canalizados através do Tornado Cash. Embora ofusque os fluxos diretos, a perícia on-chain ainda pode identificar padrões de cluster, tentativas de depósito em exchanges e rastros comportamentais em transações subsequentes. Chainalysis e TRM Labs documentam que uma porcentagem significativa dos fundos enviados por mixers ainda chega a endereços de depósito de exchanges identificáveis.

Se sua perda superar o equivalente a US$ 50.000, você tiver registros completos de transações e estiver disposto a cooperar com as autoridades, a Recoveris pode ajudá-lo com o mapeamento forense dos fundos roubados e a preparação de provas blockchain para órgãos policiais.

Importante:

A perícia blockchain não garante a recuperação de fundos. Apoia investigações policiais e reforça reivindicações legais. A equipe de recuperação de ativos do IC3 tem um sólido histórico, mas o sucesso depende da rapidez e dos registros completos. Registre seu relatório no IC3 primeiro.

6. Recursos oficiais

Site oficial da Ostium: ostium.io
SEAL 911: seal911.io
FBI IC3: ic3.gov
FTC: reportfraud.ftc.gov
Revogar aprovações (Arbitrum): revoke.cash
Ostium no Arbiscan: arbiscan.io

7. Perguntas frequentes

Depositei USDC no vault OLP da Ostium. Meus fundos são irrecuperáveis?

Os provedores de liquidez do vault OLP sofreram a perda direta. O vault caiu de aproximadamente 32,7 milhões para 9 milhões de USDC, uma redução de 72%. A recuperação dependerá do plano de compensação da Ostium e da capacidade das autoridades de congelar os ativos roubados. Registrar uma reclamação agora estabelece sua legitimação legal.

Tenho posições de trading abertas na Ostium. O que acontece com minha margem?

A Ostium declarou que a margem dos traders e as posições abertas estão congeladas e não foram afetadas pelo exploit. As operações permanecem suspensas. Acompanhe os canais oficiais da Ostium para atualizações sobre saques. Seu colateral parece estar preservado.

Alguém entrou em contato oferecendo recuperar meus fundos da Ostium. Devo pagar?

Não. Após qualquer exploit DeFi importante, dados de vítimas circulam em redes criminosas e golpistas de recuperação visam diretamente os afetados. Qualquer pessoa que entre em contato de forma não solicitada pedindo taxas antecipadas em cripto está quase certamente aplicando um segundo golpe. Empresas forenses legítimas fornecem contratos escritos, nunca garantem resultados e nunca aceitam cripto como pagamento.

Perdeu fundos no exploit da Ostium?

A Recoveris é especializada em perícia blockchain e recuperação de ativos digitais. Podemos ajudá-lo a documentar a perda, rastrear fundos e construir um caso para as autoridades.

Obter avaliação gratuita