Ostium 永續合約交易所被黑超 2000 萬美元，預言機簽名者私鑰疑洩露

去中心化永續合約交易所 Ostium 在 Arbitrum 上遭重創。7 月 15 日前後，多家安全機構陸續標記出異常資金流出，損失估算在 1800 萬到 2300 萬美元之間。Ostium 官方隨後確認，平臺的 OLP 金庫「出了問題」，已暫停所有交易，團隊正在調查，鏈上地址裡的錢在數小時內被抽走一大塊，散戶的存款首當其衝。

攻擊的手法並不複雜，卻極其致命。調查顯示，攻擊者疑似拿到了預言機簽名者的私鑰，從而能夠向系統喂入自己簽名的「有利價格」。具體來看，攻擊者開設了巨量頭寸，用自籤的優惠價格開倉並立刻平倉，從 OLP 金庫（也就是使用者的 USDC 存款池）中抽走了約 1186 萬枚 USDC。在被攻擊前，Ostium 金庫裡放著大約 6300 萬美元資產，一夜之間縮水近兩成，而攻擊者早已把錢排空、消失在混幣器裡。

這已經不是孤例。就在此前幾天，Hedera 上的 Bonzo Finance 因為曝光的預言機漏洞損失 900 萬美元；更早的 Summer.fi 也是價格操縱攻擊，丟了 600 萬美元，並在 7 月 15 日宣佈關停。也就是說，短短十天裡，連環的預言機與價格操縱事件讓 DeFi 安全域性勢再度緊繃，市場開始重新評估「鏈上金庫」這個原本被當成信仰的信任假設，資金開始用腳投票。

問題出在「可信任的單一簽名者」身上。當預言機的價格由一把私鑰說了算，攻擊者只要拿到這把鑰匙，就能在鏈上「自己給自己報價」。這正是去中心化金融最尷尬的地方：合約程式碼或許沒問題，但鏈下的簽名環節一旦失守，整池使用者資產就面臨歸零風險。多籤喂價、去中心化預言機網路喊了幾年，卻始終沒成為所有協議的標配。

說到底，預言機是 DeFi 的「眼睛」，負責把鏈下真實世界的價格搬上鍊。一旦這雙眼睛被人矇蔽，再完美的合約也只是按錯誤的資料執行。Chainlink 這類去中心化預言機網路之所以被奉為標杆，正是因為它用幾十個獨立節點取中位數、相互制約，讓單點私鑰失效。Ostium 的慘痛教訓，等於給整個行業又上了一課：別在「眼睛」上省錢。

對使用者來說，眼下最現實的提醒是，把資產撤出仍帶風險的金庫、撤銷相關合約授權，別等下一個漏洞爆出來才動手。對行業來說，預言機不能只靠「一個人簽字」，多籤、去中心化喂價和異常熔斷，才是躲過下一刀的底線。這一輪連環事故之後，資金和開發者都會往更穩的底層遷移，安全溢價會被重新定價。