Protokol Ostium dočasně pozastavil obchodování poté, co bezpečnostní společnosti upozornily na možné zneužití jeho likviditního vaultu OLP. Předběžné odhady hovoří o škodě v rozmezí 18 až 22 milionů dolarů, přičemž incident má podle dosavadních zjištění souviset s oracle infrastrukturou. Tým projektu zatím příčinu oficiálně nepotvrdil a pokračuje ve vyšetřování.
Ostium po incidentu vypnulo obchodování
Decentralizovaná obchodní platforma Ostium ve středu oznámila, že pozastavuje veškeré obchodování po odhalení problému, který zasáhl její vault. Na možný útok upozornily bezpečnostní firmy Blockaid a CertiK, které incident spojily s údajným kompromitováním oracle systému. Právě ten dodává protokolu externí cenová data, bez nichž se podobné DeFi platformy při oceňování pozic neobejdou. Ostium následně vyzvalo uživatele, aby dočasně zrušili schválení svých kontraktních oprávnění, dokud nebude situace důkladně prověřena. Podle projektu je bezpečnost uživatelů v tuto chvíli prioritou.
Blockaid odhadl škodu přibližně na 18 milionů dolarů, zatímco CertiK uvedl částku okolo 22 milionů dolarů. Rozdíl v odhadech není u podobných událostí neobvyklý, zejména v rané fázi vyšetřování, kdy se teprve analyzují přesné pohyby prostředků a mechanismus útoku. Samotný tým Ostium zdůraznil, že zatím nepotvrdil ani příčinu incidentu, ani konečný rozsah ztrát. Přesto už první reakce projektu naznačuje, že jde o vážnou událost s přímým dopadem na fungování platformy.
Co je Ostium a proč je oracle klíčový
Ostium funguje na síti Arbitrum a zaměřuje se na onchain obchodování perpetual kontraktů. Uživatelům nabízí pákovou expozici vůči zhruba 75 obchodním párům napříč několika třídami aktiv, včetně akcií, ETF, komodit, indexů, měn a kryptoměn. Takto široká nabídka dělá z oracle systému naprosto zásadní součást infrastruktury, protože platforma potřebuje spolehlivě přebírat externí cenová data z různých trhů. Pokud jsou tato data zkreslená, zpožděná nebo útočníkem zmanipulovaná, může to ovlivnit oceňování pozic i chování likviditního vaultu.
Právě oracle systémy dlouhodobě patří mezi citlivé body decentralizovaných financí. Smart kontrakt může být technicky správně napsaný, ale pokud pracuje s chybnými vstupy zvenčí, výsledkem může být stejně závažný problém jako při čisté chybě v kódu. V případě Ostium bezpečnostní analytici předběžně naznačili, že exploit pravděpodobně nesouvisel jen s logikou samotných kontraktů, ale spíše s vrstvou, která zajišťuje přísun cenových dat. To je pro celý DeFi sektor varovný signál, protože útoky se stále častěji přesouvají mimo samotný blockchainový kód.
Uživatelé mají zrušit schválení kontraktů
Jedním z nejdůležitějších kroků, které Ostium po incidentu doporučilo, je dočasné odvolání schválení kontraktů. Tento postup má omezit další riziko v případě, že by se ukázalo, že problém zasahuje širší část infrastruktury nebo některá uživatelská oprávnění. V praxi jde o preventivní bezpečnostní opatření, které může zabránit nežádoucím pohybům tokenů z peněženek uživatelů. Přestože nejde o definitivní řešení, podobná výzva obvykle ukazuje, že tým bere incident velmi vážně a nechce podcenit ani méně pravděpodobné scénáře.
Pro uživatele DeFi je navíc tato situace připomínkou, že schválení kontraktů by měli pravidelně kontrolovat i mimo krizové situace. Jednou udělená oprávnění mohou přetrvávat dlouhodobě a v případě bezpečnostního incidentu se mohou stát dalším zdrojem rizika. Ostium zatím neoznámilo přesný harmonogram obnovení provozu a vše bude zřejmě záviset na výsledku interního i externího šetření. Do té doby lze očekávat zvýšenou opatrnost ze strany komunity i poskytovatelů likvidity.
DeFi útoky letos nepolevují
Incident kolem Ostium není ojedinělý, ale zapadá do širšího trendu, který letos decentralizované finance provází. Navzdory výraznému tlaku na zvyšování bezpečnostních standardů zůstávají DeFi protokoly častým cílem útoků. Podle dat platformy DeFiLlama dosáhly ztráty způsobené kryptoměnovými hacky jen v dubnu téměř 630 milionů dolarů, což představovalo nejvyšší měsíční objem od února 2025. Většinu těchto škod přitom nesly právě DeFi projekty.
Významnou část dubnových ztrát vytvořily exploity zaměřené na KelpDAO a Drift Protocol, které dohromady tvořily více než 80 procent měsíčního součtu. To ukazuje, že i jednotlivé útoky na velké nebo strategicky důležité protokoly mohou výrazně zkreslit celkovou statistiku. Zároveň je zřejmé, že problém není omezen na jeden typ aplikace nebo jeden blockchain. Útočníci hledají slabá místa napříč celým ekosystémem a často cílí tam, kde mohou zneužít složitost provozu a závislost na externích datech či privilegovaném přístupu.
Útoky se přesouvají mimo smart kontrakty
Bezpečnostní výzkumníci v posledních měsících opakovaně upozorňují, že moderní DeFi útoky se stále méně soustředí výhradně na chyby ve smart kontraktech. Místo toho se útočníci častěji zaměřují na offchain infrastrukturu, správu klíčů, privilegované přístupy nebo právě oracle systémy. Tyto oblasti bývají složitější na audit, obtížněji se monitorují a často propojují více komponent najednou. Výsledkem je bezpečnostní povrch, který je širší, než se může na první pohled zdát při pohledu na samotný blockchain.
Případ Ostium tuto změnu dobře ilustruje. Pokud se podezření na kompromitovaný oracle potvrdí, nepůjde jen o další běžný hack, ale o příklad toho, jak citlivá je hranice mezi onchain a offchain světem. DeFi aplikace sice staví na transparentních smart kontraktech, jejich fungování je ale často závislé na datech, signálech a přístupech, které vznikají mimo řetězec. Bezpečnost DeFi tak dnes není jen otázkou kódu, ale celé provozní architektury.
Dopad na důvěru institucí
Opakující se bezpečnostní incidenty zároveň posilují obavy, zda je sektor decentralizovaných financí připravený na širší institucionální adopci. Analytici JPMorgan už dříve upozornili, že bezpečnost mostů mezi sítěmi zůstává jednou z klíčových překážek dalšího rozvoje odvětví. Podle jejich pohledu to vyvolává otázky, zda může DeFi ve stávající podobě škálovat tak, aby podporovalo rozsáhlejší účast tradičních finančních institucí. Incidenty jako ten u Ostium tyto pochyby znovu otevírají.
Dalším problémem je poměr mezi výnosem a rizikem. Představitelé odvětví v minulých měsících upozorňovali, že klesající DeFi výnosy stále hůře kompenzují bezpečnostní hrozby, které jsou s tímto segmentem spojeny. Šéf bezpečnostní firmy Statemind a spoluzakladatel Symbiotic Misha Putiatin v květnu uvedl, že instituce mají stále větší potíže kvantifikovat riziko hacku. Pokud nedokážou spolehlivě určit pravděpodobnost a dopad podobných incidentů, jsou méně ochotné akceptovat i potenciálně atraktivní výnosy.
Co bude následovat
V nejbližších dnech bude klíčové, zda Ostium zveřejní podrobnější technickou analýzu incidentu a zda se potvrdí role oracle systému v celém útoku. Důležité bude také upřesnění skutečné výše ztrát a informace o tom, zda budou nějakým způsobem chráněni nebo kompenzováni postižení uživatelé a poskytovatelé likvidity. Trh bude sledovat i to, jak rychle projekt dokáže obnovit provoz a zda přijme strukturální změny v bezpečnostní architektuře. Podobné události totiž často rozhodují o dlouhodobé důvěryhodnosti protokolu více než samotná rychlost první reakce.
Pro celý sektor je případ Ostium další připomínkou, že bezpečnost zůstává jedním z největších nevyřešených témat decentralizovaných financí. Přestože se auditní standardy, monitoring i reakční postupy zlepšují, útočníci se adaptují a přesouvají se k méně chráněným částem infrastruktury. DeFi tak nadále čelí paradoxu: technologicky rychle dospívá, ale zároveň zůstává zranitelné v místech, kde se propojuje s externím světem. Právě na tom může stát i padat jeho další růst.
