Le 15 juillet 2026, le DEX Ostium perpétuel a été vidé de 23,75 millions de dollars USDC après qu'un attaquant a mis la main sur une clé privée de signataire Oracle et l'a utilisée pour fabriquer de fausses transactions rentables jusqu'à ce que le coffre-fort soit à sec. Ostium a suspendu les échanges moins d'une heure après la première transaction malveillante et, après huit jours d'enquête et d'efforts de renforcement, a rouvert la plateforme le 23 juillet.
Contrairement aux bogues de contrats intelligents qui dominaient autrefois les gros titres des hackers DeFi, cette attaque ciblait l'infrastructure hors chaîne qui alimente les prix dans le protocole – la partie pour laquelle la plupart des audits et des primes de bogues ne sont jamais payés.
Qu’est-il arrivé exactement à Ostium ?
La cause première était une clé privée de signataire Oracle compromise plutôt qu'une faille dans le code Solidity d'Ostium. La société de sécurité Blockaid, qui a été la première à signaler l'incident, a signalé que l'attaquant avait utilisé un transitaire PriceUpKeep enregistré pour soumettre des rapports Oracle autorisés et datés. Ces rapports ont trompé le protocole en lui faisant croire qu'une série de transactions était rentable.
À partir de là, l'attaquant a effectué environ 20 transactions d'ouverture et de clôture en boucle par le biais d'actions déléguées, tirant des paiements répétés du principal coffre-fort OLP (fournisseur de liquidité) d'Ostium sans jamais prendre une réelle exposition au marché. La logique de paiement du coffre-fort croyait que le prix falsifié était authentique, et a donc réglé des transactions qui semblaient rentables uniquement parce que le flux lui-même avait été falsifié.
Pourquoi une clé de signataire Oracle est-elle si importante ?
Une clé de signataire Oracle fonctionne comme un mot de passe principal pour les données de prix. Lorsqu'un protocole comme Ostium règle des transactions perpétuelles, il s'appuie sur des flux de prix signés pour décider qui réalise des bénéfices et qui ne le fait pas. Celui qui contrôle cette clé de signature peut effectivement indiquer au protocole le prix qu'il souhaite, en contournant les contrôles automatisés destinés à maintenir l'honnêteté du flux.
C'est ce qui rend cette classe d'attaque si dommageable. Les contrats intelligents ont fait exactement ce pour quoi ils étaient programmés ; ils ont simplement agi sur la base d'instructions frauduleuses provenant de quelqu'un qui avait un accès qu'ils n'auraient pas dû avoir. Cela s’inscrit dans un modèle plus large pour 2026 dans lequel les pertes DeFi les plus importantes proviennent de plus en plus de la couche humaine et infrastructurelle plutôt que du code bogué.
Combien a été perdu et où est passé l’argent ?
Ostium a confirmé le chiffre exact : 23 752 746 USDC ont été drainés du coffre-fort OLP. Les premières estimations variaient – Blockaid évaluait la perte nette à près de 18 millions de dollars et CertiK à 22 millions de dollars – mais la comptabilité du protocole s'établissait à environ 23,75 millions de dollars bruts. Galaxy Research a retracé huit paiements vers un seul portefeuille, dont des transferts d'environ 11,86 millions de dollars, 4,49 millions de dollars et 3,59 millions de dollars.
Fondamentalement, l’exploit a touché la liquidité partagée dans le coffre-fort public OLP, et non les garanties individuelles des commerçants. La marge des traders est restée isolée et gelée dans les contrats intelligents tout au long de la pause. L'USDC volé a cependant été converti en environ 12 084 ETH et acheminé via le service de mixage Tornado Cash, ce qui limite considérablement les chances de récupération.
Le hack Ostium a-t-il été résolu ?
En partie. Les échanges ont repris le 23 juillet à 10h00 HE (14h00 UTC), mais la situation n'est pas complètement close. Voici où en sont les choses :
Les échanges ont rouvert par étapes : les fonctions de gestion des risques et les ordres de réduction uniquement sont revenus en premier, les fonctionnalités restantes étant restaurées progressivement pour maintenir la stabilité du système. Les positions ouvertes et les ordres en attente ont été reportés plutôt que d'être fermés pendant la panne, et chaque position a été recalculée au prix réel du marché à la réouverture, de sorte qu'aucun trader n'a été liquidé en raison des mouvements de prix pendant la pause.
Les fonds volés n'ont pas été récupérés. Ostium travaille avec les sociétés de cybersécurité Mandiant, zeroShadow et Collisionless, ainsi qu'avec le groupe d'intervention d'urgence SEAL 911 et les forces de l'ordre, et s'est coordonné avec les bourses, les ponts et les émetteurs de pièces stables pour retracer l'argent.
La compensation des fournisseurs de liquidité concernés est encore en cours de finalisation. Ostium a déclaré qu'il contribuerait à partir de son propre bilan aux côtés de ses partenaires pour rétablir l'intégrité des LP concernés, mais un plan de redressement détaillé était toujours en attente à la réouverture. Ainsi, pendant que les échanges reprennent, les éléments de récupération des fonds et de remboursement des LP restent ouverts.
Le financement et l’audit protègent-ils un protocole comme celui-ci ?
Pas tout seul. Ostium a levé environ 27,8 millions de dollars auprès de bailleurs de fonds de premier plan, notamment General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute et GSR, et a fait l'objet de plusieurs audits. Rien de tout cela ne concernait la gestion des clés pour ses signataires d'Oracle.
Notamment, le champ d'application du bug bounty Immunefi d'Ostium traitait les détenteurs enregistrés – y compris PriceUpKeep et leurs transitaires – comme étant fiables, plaçant explicitement toute découverte nécessitant un détenteur compromis ou malveillant en dehors du programme. En d’autres termes, la surface d’attaque exacte exploitée a été déclarée hors de portée des chercheurs.
Comparez côte à côte les bourses entièrement réglementées par MiCA sur notre page de comparaison
Que signifie le hack Ostium pour les plateformes DeFi et RWA ?
C'est un autre rappel que la sécurisation de l'infrastructure Oracle est tout aussi importante que l'audit des contrats intelligents – sans doute plus, car les protocoles RWA attirent les actions, les matières premières, les devises et les prix des indices à partir de sources hors chaîne. Tout protocole reposant sur une seule clé de signataire de confiance ou sur le même fournisseur Oracle doit se demander s'il est exposé au même point de défaillance unique.
Pour les traders, les points pratiques à retenir sont familiers mais méritent d'être répétés : révoquer les approbations de contrats inutiles, être prudent avec les fonds garés dans les coffres-forts DEX des individus et surveiller les chaînes officielles plutôt que les rumeurs lors d'un incident actif.
Où pouvez-vous échanger des crypto-monnaies sur des plateformes réglementées ?
Des incidents comme le piratage d'Ostium rappellent les compromis qui s'imposent avec les sites non audités ou peu réglementés. Dans l'UE, le cadre MiCA établit désormais une norme commune : à partir du 1er juillet 2026, toute plateforme au service des clients de l'UE doit obtenir une autorisation de fournisseur de services de crypto-actifs (CASP), qui couvre la gouvernance, la protection des actifs des clients, la sécurité informatique et les exigences AML. Fin juillet 2026, le registre de l'ESMA répertoriait près de 300 CASP autorisés dans l'EEE et un seul passeport d'autorisation dans tous les États membres.
Si vous préférez négocier sur des plates-formes réglementées et conformes plutôt que d'exposer des fonds à un DEX dépendant d'Oracle, cela vaut la peine de comparer les sites en fonction de leur statut de licence, de leurs frais et des actifs disponibles. Notre page de comparaison des courtiers et des bourses présente ces éléments côte à côte afin que vous puissiez choisir une plateforme qui correspond à la façon dont vous négociez réellement.
Une option réglementée est XTBun courtier établi et coté en bourse qui a obtenu l'autorisation de proposer du trading de crypto au comptant aux clients de l'EEE (via son autorisation chypriote), parallèlement à ses produits de courtage réglementés. Vous pouvez ouvrir un compte avec XTB ici.
Voir l’article original en anglais
