Exploit dell'oracolo di Ostium: cosa devono fare i fornitori di liquidità ora

17 luglio 2026·8 min di lettura·Risposta agli Incidenti

Il 15 luglio 2026, tra le 14:18 e le 14:23 UTC, un attaccante ha drenato circa 18 milioni di dollari in USDC dal vault OLP (Ostium Liquidity Pool) di Ostium su Arbitrum. L'exploit ha sfruttato una chiave del firmatario dell'oracolo compromessa per iniettare rapporti di prezzo falsi con data futura, generando profitti artificiali pagati direttamente dal vault. Se hai depositato USDC nel vault OLP di Ostium, i tuoi fondi sono stati direttamente colpiti. Questa guida spiega cosa fare adesso.

Azione immediata richiesta

Se avevi USDC depositato nel vault OLP di Ostium o approvazioni di token attive per i contratti Ostium, revoca immediatamente quelle approvazioni usando Revoke.cash (Arbitrum). Non interagire con nessuno che ti contatta in modo non richiesto.

1. Cosa è successo

Ostium è un exchange decentralizzato di futures perpetui costruito su Arbitrum che consente ai trader di aprire posizioni con leva (fino a 200x) su asset del mondo reale come futures S&P 500, oro, materie prime e valute. Il vault OLP funge da livello di liquidazione: gli utenti depositano USDC nel vault per agire come controparte dei trader, guadagnando rendimento dalle commissioni.

Il 15 luglio 2026, tra le 14:18 e le 14:23 UTC, un attaccante ha sfruttato il sistema oracle di Ostium ottenendo accesso al PriceUpKeep forwarder, responsabile dell'invio dei dati di prezzo esterni on-chain. Ha iniettato falsi report oracle con data futura per la coppia BTC/USD. Questi prezzi manipolati hanno fatto sembrare che le operazioni perdenti fossero molto redditizie, consentendo di aprire e chiudere posizioni a prezzi artificiali e far pagare ingenti somme dal vault OLP.

Le società di sicurezza Blockaid, Cyvers e Decurity hanno rilevato le uscite sospette in tempo reale. Ostium ha confermato l'incidente e sospeso il trading in meno di un'ora. Il saldo del vault OLP è sceso da circa 32,7 milioni a 9 milioni di USDC, una perdita del 72%. I fondi rubati sono stati convertiti in ETH e convogliati tramite Tornado Cash. Al 17 luglio 2026, Ostium non ha pubblicato un post-mortem definitivo né annunciato un piano di compensazione.

2. Chi è interessato

Fornitori di liquidità del vault OLP (direttamente colpiti)

Se hai depositato USDC nel vault OLP di Ostium per ottenere rendimento, i tuoi fondi sono a rischio. Il vault era il bersaglio diretto e ha subito un calo del 72%. La portata del recupero individuale dipenderà dal meccanismo di compensazione di Ostium e dalla capacità delle autorità di congelare gli asset rubati.

Trader con posizioni aperte

Ostium ha dichiarato che il margine dei trader e le posizioni aperte sono congelati e non sono stati rubati. Il trading rimane sospeso. Monitora i canali ufficiali di Ostium per aggiornamenti. Il tuo collaterale sembra essere preservato, ma non puoi agire sulle posizioni fino alla ripresa del trading.

Utenti con approvazioni attive

Qualsiasi wallet che abbia interagito con Ostium potrebbe avere approvazioni USDC o altri token in sospeso per i contratti Ostium. Lo stesso Ostium ha consigliato di revocare queste approvazioni. Anche se non hai posizioni aperte, revocale ora come precauzione.

3. Azioni immediate

Segui questi passaggi ora. L'ordine è importante: non saltarne nessuno.

Smetti di interagire con i contratti Ostium. Non tentare di chiudere posizioni, prelevare fondi o interagire con qualsiasi interfaccia Ostium fino a indicazioni ufficiali.
Revoca tutte le approvazioni di token Ostium su Arbitrum. Vai su revoke.cash/token-approval-checker/arbitrum, connetti il tuo wallet e revoca qualsiasi approvazione per contratti Ostium.
Documenta tutte le transazioni. Esporta la cronologia delle transazioni del wallet da Arbiscan. Registra ogni deposito nel vault OLP, incluse date, importi e hash delle transazioni.
Presenta una denuncia all'FBI IC3. Vai su ic3.gov e invia un reclamo con gli indirizzi dei contratti Ostium, gli hash delle tue transazioni e gli importi depositati.
Segnala al tuo regolatore finanziario locale. Presenta un reclamo all'autorità per i crimini finanziari del tuo paese (FCA nel Regno Unito, BaFin in Germania, FINMA in Svizzera, ecc.).
Contatta l'exchange dove hai acquistato USDC. Se hai acquistato USDC su un exchange centralizzato, contatta il loro team di compliance con gli indirizzi wallet di destinazione.
Diffida delle truffe di recupero. Dopo qualsiasi exploit DeFi importante, i dati delle vittime circolano nelle reti criminali. Chiunque chieda commissioni anticipate in criptovaluta sta quasi certamente eseguendo una seconda truffa.

4. Come verificare se sei stato colpito

Usa questi strumenti per verificare la tua esposizione:

Cronologia wallet su Arbiscan: Cerca il tuo indirizzo su arbiscan.io. Qualsiasi trasferimento USDC al contratto vault OLP significa che sei direttamente colpito.
Revoke.cash (Arbitrum): Visita revoke.cash/token-approval-checker/arbitrum e connetti il wallet. Se appare un contratto Ostium come spender approvato, revocalo immediatamente.
De.Fi Shield: Connetti il tuo wallet Arbitrum su de.fi per una valutazione dei rischi delle approvazioni attive.
Comunicazioni ufficiali di Ostium: Monitora il sito ufficiale per aggiornamenti sulla timeline e qualsiasi meccanismo di compensazione.
DeFiLlama: Controlla defillama.com/protocol/ostium per il TVL attuale.

5. Come può aiutare Recoveris

Recoveris è una società di intelligence blockchain specializzata nel tracciamento di criptovalute rubate. Nei casi di compromissione della chiave oracle come l'exploit di Ostium, la forensica blockchain svolge un ruolo specifico.

Gli USDC rubati sono stati convertiti in ETH e convogliati tramite Tornado Cash. Sebbene offuschi i flussi diretti, la forensica on-chain può ancora identificare pattern di cluster, tentativi di deposito su exchange e impronte comportamentali. Chainalysis e TRM Labs documentano che una percentuale significativa dei fondi inviati tramite mixer raggiunge ancora indirizzi di exchange identificabili.

Se la tua perdita supera l'equivalente di 50.000 USD, hai registri completi e sei disposto a cooperare con le autorità, Recoveris può assisterti con la mappatura forense e la preparazione di prove blockchain per le forze dell'ordine.

Importante:

La forensica blockchain non garantisce il recupero dei fondi. Supporta le indagini e rafforza le rivendicazioni legali. Il team IC3 ha un solido track record, ma il successo dipende dalla tempestività e dai registri completi. Presenta prima il tuo report all'IC3.

6. Risorse ufficiali

Sito ufficiale Ostium: ostium.io
SEAL 911: seal911.io
FBI IC3: ic3.gov
FTC: reportfraud.ftc.gov
Revoca approvazioni (Arbitrum): revoke.cash
Ostium su Arbiscan: arbiscan.io

7. Domande frequenti

Ho depositato USDC nel vault OLP di Ostium. I miei fondi sono irrecuperabili?

I fornitori di liquidità del vault OLP hanno subito la perdita diretta. Il vault è sceso da circa 32,7 milioni a 9 milioni di USDC, una riduzione del 72%. Il recupero dipenderà dal piano di compensazione di Ostium e dalla capacità delle autorità di congelare gli asset rubati. Presentare un reclamo ora stabilisce la tua legittimazione legale.

Ho posizioni di trading aperte su Ostium. Cosa succede al mio margine?

Ostium ha dichiarato che il margine dei trader e le posizioni aperte sono congelati e non sono stati colpiti dall'exploit. Il trading rimane sospeso. Segui i canali ufficiali per aggiornamenti sui prelievi. Il tuo collaterale sembra essere preservato.

Qualcuno mi ha contattato offrendo di recuperare i miei fondi da Ostium. Devo pagare?

No. Dopo qualsiasi exploit DeFi importante, i truffatori del recupero si rivolgono direttamente alle vittime. Chiunque chieda commissioni anticipate in criptovaluta sta quasi certamente eseguendo una seconda truffa. Le società forensi legittime forniscono contratti scritti, non garantiscono risultati e non accettano criptovalute come pagamento.

Hai perso fondi nell'exploit di Ostium?

Recoveris è specializzata in forensica blockchain e recupero di asset digitali. Possiamo aiutarti a documentare la perdita, tracciare i fondi e costruire un caso per le autorità.

Ottieni una valutazione gratuita