Exploit de l'oracle Ostium : que doivent faire les fournisseurs de liquidités maintenant

17 juillet 2026·8 min de lecture·Rapport d'incident

Le 15 juillet 2026, entre 14h18 et 14h23 UTC, un attaquant a drainé environ 18 millions de dollars en USDC du vault OLP (Ostium Liquidity Pool) d'Ostium sur Arbitrum. L'exploit a exploité une clé de signataire d'oracle compromise pour injecter de faux rapports de prix horodatés dans le futur, générant des profits artificiels payés directement depuis le vault. Si vous avez déposé des USDC dans le vault OLP d'Ostium, vos fonds ont été directement touchés. Ce guide vous explique ce que vous devez faire maintenant.

Action immédiate requise

Si vous aviez des USDC déposés dans le vault OLP d'Ostium ou des approbations de tokens actives pour les contrats Ostium, révoquez immédiatement ces approbations en utilisant Revoke.cash (Arbitrum). N'interagissez pas avec des personnes non sollicitées prétendant pouvoir vous aider à récupérer vos fonds.

1. Ce qui s'est passé

Ostium est un exchange décentralisé de futures perpétuels construit sur Arbitrum qui permet aux traders d'ouvrir des positions avec effet de levier (jusqu'à 200x) sur des actifs du monde réel comme les futures S&P 500, l'or, les matières premières et les devises. Le vault OLP sert de couche de liquidation : les utilisateurs déposent des USDC dans le vault pour agir comme contrepartie des traders, gagnant un rendement sur les frais.

Le 15 juillet 2026, entre 14h18 et 14h23 UTC, un attaquant a exploité le système d'oracle d'Ostium en accédant au PriceUpKeep forwarder, chargé d'envoyer des données de prix externes on-chain. Au lieu de prix de marché légitimes, il a injecté de faux rapports d'oracle datés dans le futur pour la paire BTC/USD. Ces prix manipulés ont fait apparaître des transactions perdantes comme très rentables, permettant d'ouvrir et de fermer immédiatement des positions à ces prix artificiels et de faire payer d'importantes sommes depuis le vault OLP.

Les sociétés de sécurité Blockaid, Cyvers et Decurity ont détecté les sorties suspectes en temps réel. Ostium a confirmé l'incident et suspendu les opérations en moins d'une heure. Le solde du vault OLP est tombé de 32,7 millions à 9 millions d'USDC, soit une perte de 72%. Les fonds volés ont été convertis en ETH et canalîsés via Tornado Cash. Au 17 juillet 2026, Ostium n'a publié ni post-mortem définitif ni plan de compensation.

2. Qui est concerné

Fournisseurs de liquidités du vault OLP (directement touchés)

Si vous avez déposé des USDC dans le vault OLP d'Ostium pour obtenir un rendement, vos fonds sont à risque. Le vault était la cible directe et a subi une baisse de 72%. L'étendue de la récupération individuelle dépendra du mécanisme de compensation d'Ostium et de la capacité des autorités à geler les actifs volés.

Traders avec des positions ouvertes

Ostium a déclaré que les marges des traders et les positions ouvertes sont gelées et n'ont pas été volées. Les opérations restent suspendues. Surveillez les canaux officiels d'Ostium pour les mises à jour. Votre colatéral semble être préservé, mais vous ne pouvez pas agir sur les positions jusqu'au rétablissement des opérations.

Utilisateurs avec des approbations actives

Tout portefeuille ayant interagi avec Ostium peut avoir des approbations USDC ou d'autres tokens en attente pour les contrats Ostium. Ostium lui-même a conseillé aux utilisateurs de révoquer ces approbations. Même si vous n'avez pas de positions ouvertes, révoquez-les maintenant par précaution.

3. Actions immédiates

Suivez ces étapes maintenant. L'ordre est important : n'en sautez aucune.

Arrêtez d'interagir avec les contrats Ostium. N'essayez pas de fermer des positions, retirer des fonds ou interagir avec une interface Ostium jusqu'à des instructions officielles.
Révoquez toutes les approbations de tokens Ostium sur Arbitrum. Rendez-vous sur revoke.cash/token-approval-checker/arbitrum, connectez votre portefeuille et révoquez toute approbation listée pour une adresse de contrat Ostium.
Documentez toutes les transactions. Exportez l'historique des transactions de votre portefeuille depuis Arbiscan. Enregistrez chaque dépôt dans le vault OLP, y compris les dates, les montants et les hachages de transactions.
Déposez une plainte auprès du FBI IC3. Rendez-vous sur ic3.gov et soumettez une plainte avec les adresses des contrats Ostium, les hachages de vos transactions et les montants déposés.
Signalez à votre régulateur financier local. Déposez une plainte auprès de l'autorité de lutte contre la criminalité financière de votre pays (FCA au Royaume-Uni, BaFin en Allemagne, FINMA en Suisse, AMF en France, etc.).
Contactez l'exchange où vous avez acheté des USDC. Si vous avez acheté des USDC sur un exchange centralisé, contactez leur équipe de conformité avec les adresses de portefeuille de destination.
Méfiez-vous des arnaques de récupération. Après tout exploit DeFi majeur, les données des victimes circulent dans les réseaux criminels. Toute personne vous contactant de manière non sollicitée en demandant des frais anticipés en crypto exécute presque certainement une deuxième arnaque.

4. Comment vérifier si vous êtes touché

Utilisez ces outils pour vérifier votre exposition :

Historique du portefeuille sur Arbiscan : Recherchez votre adresse sur arbiscan.io. Tout transfert d'USDC vers le contrat vault OLP signifie que vous êtes un fournisseur de liquidités directement touché.
Revoke.cash (Arbitrum) : Visitez revoke.cash/token-approval-checker/arbitrum et connectez votre portefeuille. Si un contrat Ostium apparaît comme dépenseur approuvé, révoquez-le immédiatement.
De.Fi Shield : Connectez votre portefeuille Arbitrum sur de.fi pour une évaluation des risques des approbations actives.
Communications officielles d'Ostium : Surveillez le site officiel d'Ostium pour les mises à jour sur la chronologie de l'incident et tout mécanisme de compensation.
DeFiLlama : Consultez defillama.com/protocol/ostium pour la TVL actuelle.

5. Comment Recoveris peut aider

Recoveris est une société d'intelligence blockchain spécialisée dans le traçage de cryptomonnaies volées. Dans les cas de compromission de clé d'oracle comme l'exploit d'Ostium, la forensique blockchain joue un rôle spécifique.

Les USDC volés ont été convertis en ETH et canalîsés via Tornado Cash. Bien que cela obscurcisse les flux directs, la forensique on-chain peut encore identifier des modèles de cluster, des tentatives de dépôt sur des exchanges et des empreintes comportementales. Chainalysis et TRM Labs documentent qu'une part significative des fonds envoyés via des mixeurs atteint encore des adresses de dépôt d'exchanges identifiables.

Si votre perte dépasse l'équivalent de 50 000 USD, que vous disposez de registres complets de transactions et êtes disposé à coopérer avec les autorités, Recoveris peut vous aider avec la cartographie forensique des fonds volés et la préparation de preuves blockchain pour les forces de l'ordre.

Importante:

La forensique blockchain ne garantit pas la récupération des fonds. Elle soutient les enquêtes judiciaires et renforce les revendications légales. L'équipe de récupération d'actifs de l'IC3 a un solide bilan, mais le succès dépend de la rapidité et des registres complets. Soumettez d'abord votre rapport à l'IC3.

6. Ressources officielles

Site officiel d'Ostium : ostium.io
SEAL 911 : seal911.io
FBI IC3 : ic3.gov
FTC : reportfraud.ftc.gov
Révoquer les approbations (Arbitrum) : revoke.cash
Ostium sur Arbiscan : arbiscan.io

7. Questions fréquentes

J'ai déposé des USDC dans le vault OLP d'Ostium. Mes fonds sont-ils irrécupérables ?

Les fournisseurs de liquidités du vault OLP ont subi la perte directe. Le vault est tombé de 32,7 millions à 9 millions d'USDC, une réduction de 72%. La récupération dépendra du plan de compensation d'Ostium et de la capacité des autorités à geler les actifs volés. Déposer une plainte maintenant établit votre légitimité juridique.

J'ai des positions de trading ouvertes sur Ostium. Qu'advient-il de ma marge ?

Ostium a déclaré que les marges des traders et les positions ouvertes sont gelées et n'ont pas été affectées par l'exploit. Les opérations restent suspendues. Suivez les canaux officiels d'Ostium pour les mises à jour sur les retraits. Votre colatéral semble être préservé.

Quelqu'un m'a contacté en proposant de récupérer mes fonds d'Ostium. Dois-je payer ?

Non. Après tout exploit DeFi majeur, les données des victimes circulent dans les réseaux criminels et les escrocs de récupération ciblent directement les personnes touchées. Toute personne vous contactant de manière non sollicitée en demandant des frais anticipés en crypto exécute presque certainement une deuxième arnaque. Les sociétés forensiques légitimes fournissent des contrats écrits, ne garantissent jamais les résultats et n'acceptent jamais la crypto comme moyen de paiement.

Avez-vous perdu des fonds dans l'exploit d'Ostium ?

Recoveris est spécialisée dans la forensique blockchain et la récupération d'actifs numériques. Nous pouvons vous aider à documenter la perte, tracer les fonds et constituer un dossier pour les autorités.

Évaluation gratuite