Ostium detiene operaciones tras incidente con OLP y oráculos
Las empresas de seguridad estimaron pérdidas de entre 18 millones y 22 millones de dólares, mientras que Ostium instó a los usuarios a revocar aprobaciones mientras investiga.
Ostium detuvo todas las operaciones el 15 de julio después de identificar un problema que afectaba su bóveda de liquidez OLP en Arbitrum, tras alertas de seguridad que describían un aparente exploit relacionado con un oracle. Las estimaciones de pérdidas variaron de aproximadamente $18 millones a alrededor de $22 millones, y el protocolo pidió a los usuarios que revocaran temporalmente las aprobaciones de contratos mientras investiga.
Puntos Clave
- Ostium congeló todas las operaciones después de que un problema impactara su bóveda de liquidez OLP, tras informes de un aparente exploit relacionado con un oracle-.
- Las pérdidas estimadas variaron según el evaluador, oscilando entre aproximadamente $18 millones y alrededor de $22 millones.
- El incidente fue atribuido por las firmas de seguridad a un aparente compromiso del sistema de oracle que suministra datos de precios externos.
- Ostium instó a los usuarios a revocar temporalmente las token approvals, mientras afirmaba que no había confirmado ni la causa raíz ni las cifras de pérdidas.
Ostium Congela el Comercio Después del Incidente del OLP Vault
Ostium, un lugar de perpetuos en cadena basado en Arbitrum, detuvo todo el comercio el 15 de julio después de identificar un problema que afecta su OLP liquidity vault. La pausa es el único hecho claro al que los traders pueden aferrarse en este momento, y es la parte que importa operativamente.
Cuando un lugar de perp deja de emparejar, los usuarios pierden la capacidad de expresar nuevo riesgo, ajustar colateral, o gestionar la exposición a través de la interfaz nativa.
El componente afectado es el OLP liquidity vault de Ostium, un vault agrupado de activos utilizados para proporcionar liquidez al protocolo. Si la contabilidad o los insumos de precios del vault se ven comprometidos, la capacidad del lugar para cotizar mercados de manera segura y gestionar el colateral se vuelve cuestionable. Por eso la primera respuesta fue un alto total en lugar de una restricción parcial.
Lo que destaca es la amplitud del lugar. Ostium ofrece exposición apalancada a través de 75 pares de comercio que abarcan acciones, ETFs, materias primas, índices, divisas y criptomonedas. Eso hace que esto sea más que un incidente de DeFi de un solo activo.
Un alto a nivel de lugar en una plataforma de perp de activos cruzados es un evento de riesgo directo para los usuarios activos, no un titular que puedes ignorar porque no comercies con un token.
Reclamaciones de Compromiso de Oracle y el Rango de Pérdida de $18M–$22M
Dos empresas de seguridad blockchain, Blockaid y CertiK, vincularon el incidente a un aparente compromiso del sistema de oracle de Ostium, el mecanismo que alimenta datos de precios externos al protocolo. En los diseños de perp, esa entrada de precio no es cosmética. Es el punto de referencia para el margen, liquidaciones, y PnL de la bóveda. Si el oráculo está equivocado, todo lo que venga después puede estar equivocado.
Las estimaciones de pérdidas no están alineadas. Blockaid estimó aproximadamente $18 millones en pérdidas, mientras que CertiK puso la cifra en alrededor de $22 millones. La diferencia es significativa, pero el problema más grande es que ambos números siguen siendo estimaciones de terceros.
Ostium ha dicho explícitamente que aún no ha confirmado la causa del incidente ni las pérdidas estimadas circuladas por las empresas de seguridad. Eso deja al mercado operando con información incompleta en dos ejes críticos a la vez: el vector de explotación y el tamaño del daño.
En términos prácticos, el rango de $18 millones frente a $22 millones debe ser tratado como una banda de incertidumbre, no como un número definitivo. Diferentes empresas pueden medir la “pérdida” de manera diferente en las primeras horas de un incidente, especialmente cuando el paquete no proporciona hashes de transacción, direcciones de atacantes o un post-mortem del protocolo.
Hasta que Ostium confirme la contabilidad, los traders se quedan con un lugar que está en pausa y una teoría de trabajo que el camino del oráculo fue comprometido.
Acción del Usuario: Revocar Aprobaciones Mientras Dura la Investigación
La instrucción más accionable de Ostium no era sobre posiciones. Era sobre permisos.
El equipo escribió en X: “Con la seguridad del usuario siendo nuestra primera preocupación, recomendamos que todos los usuarios temporalmenterevoquen aprobacionespara nuestros contratos hasta que podamos investigar más a fondo el reciente incidente.”
Revocar aprobaciones significa eliminar los permisos de gasto de tokens previamente otorgados, también llamados asignaciones, por lo que Ostium’scontratos inteligentesya no puede mover los tokens de un usuario. Esta es una higiene básica en cualquier ventana de explotación, pero el momento importa. El protocolo está señalando que, mientras investiga, quiere reducir el radio de explosión de cualquier exposición persistente a permisos de contrato.
Esa guía no confirma que las billeteras de los usuarios estuvieran directamente en riesgo, y el paquete no especifica si las pérdidas se limitaron al vault de OLP, a los fondos de los usuarios, o a ambos. Sin embargo, indica cómo el equipo está priorizando la respuesta: detener el trading primero, luego reducir el riesgo de permisos mientras la causa raíz aún no está confirmada.
Para los traders, el punto operativo clave es que una pausa en el trading más un vault de liquidez afectado puede traducirse en inactividad forzada. Incluso si no te ves afectado directamente por la pérdida del vault, estás expuesto al riesgo de continuidad del venue cuando el motor de emparejamiento está apagado y el protocolo aún está determinando lo que sucedió.
Señales que determinan el riesgo de reinicio: Confirmación, Contención y Post-Mortem
La siguiente fase se trata de verificación y alcance, no de vibras.
Primero, Ostium necesita confirmar o refutar las dos afirmaciones centrales que circulan en el mercado: que el incidente fue provocado por un compromiso de un oracle, y que las pérdidas se sitúan en el rango de $18 millones a $22 millones. Una declaración clara que reconcilie las estimaciones de Blockaid y CertiK reduciría la incertidumbre, incluso si el número es feo.
En segundo lugar, los traders necesitan un cronograma concreto para reanudar el trading. El paquete no incluye una ventana de reinicio, y esa ausencia es en sí misma una señal de riesgo. Un lugar puede ser pausado durante horas, días o más tiempo dependiendo de si el problema es un exploit contenido, una falla sistémica de oráculo o un problema más amplio de gestión de claves.
En tercer lugar, los detalles del incidente del protocolo determinarán si el reinicio es una simple reapertura o un restablecimiento estructural. El mercado necesita claridad sobre el alcance del impacto en el vault de liquidez de OLP y qué pasos de remediación existen para los usuarios, si es que hay alguno.
Sin un análisis posterior que explique qué falló y qué cambió, un reinicio puede parecer menos una recuperación y más una reapertura de riesgos no resueltos.
Al ampliar la vista, este incidente ocurre en un año donde los ataques a DeFi han persistido a pesar del gasto en seguridad. Los datos de DeFiLlama mostraron casi $630 millones en pérdidas por hackeos de criptomonedas durante abril, el total mensual más alto desde febrero de 2025, con los protocolos DeFi representando la gran mayoría. Los exploits en KelpDAO y Drift Protocol constituyeron más del 80% del total de ese mes.
Los investigadores de seguridad también han señalado un cambio hacia objetivos de infraestructura offchain como oráculos, acceso privilegiado y gestión de claves.
Ese contexto es importante porque enmarca por qué un titular de "compromiso de oráculo" no es una tecnicidad de nicho. Cada vez más, se está convirtiendo en el principal modo de falla.
El riesgo de oráculo se está convirtiendo en el punto crítico de falla para los perps onchain.
Sigo volviendo a la misma asimetría incómoda: los perps son un negocio de precios, y los oráculos son la dependencia de precios. Ostium está pausado porque algo tocó el vault de liquidez OLP, y la principal atribución externa es un compromiso de oráculo. Esa combinación es exactamente el tipo de evento de riesgo de lugar que obliga a los traders a pensar más allá de la exposición al token y hacia la exposición a la infraestructura.
Hay tres escenarios que importan, y cada uno tiene un perfil de riesgo de reinicio diferente.
El escenario uno es el "incidente de oráculo contenido". Ostium confirma la atribución del compromiso de oráculo, cuantifica las pérdidas en el rango de $18 millones a $22 millones, y describe una solución que es estrecha y comprobable. Los puntos de confirmación aquí son sencillos: un post-mortem que explique qué componente del oráculo falló, qué se cambió y por qué no se puede repetir el mismo camino.
La invalidación es igual de clara: lenguaje vago, sin descripción técnica de contención, o un anuncio de reinicio sin una explicación creíble de qué cambió.
El escenario dos es la "revisión de la estimación de pérdidas". Ostium disputa el rango de $18 millones a $22 millones, ya sea materialmente más bajo o más alto, porque la contabilidad inicial de terceros pasó por alto compensaciones internas o drenajes adicionales. El punto de confirmación es una metodología de pérdida reconciliada que explica por qué Blockaid y CertiK divergieron.
El punto de invalidación es una caída en el número sin una narrativa contable, lo que mantendría la incertidumbre elevada incluso si se reanuda el trading.
El escenario tres es que "el compromiso de oráculo es un síntoma, no la causa". Ostium sostiene que no ha confirmado la causa raíz, y la investigación revela una falla diferente en la tubería de datos de precios, acceso privilegiado o gestión de claves.
No puedo afirmar eso a partir del paquete, pero puedo decir qué lo confirmaría: una declaración que rechace explícitamente el marco del compromiso de oráculo y lo reemplace con una causa raíz diferente, además de pasos de remediación que coincidan con esa causa. Si Ostium finalmente confirma el compromiso de oráculo, este escenario queda invalidado.
A través de los tres, el punto de la estructura del mercado es el mismo. Un lugar de perps onchain de múltiples activos que detiene el trading después de un incidente en el vault OLP te está diciendo que la integridad de precios y el respaldo de liquidez son inseparables.
La tesis central se confirma si la actualización de Ostium valida la atribución del compromiso de oráculo y reconcilia el rango de pérdidas de $18M a $22M con un plan de contención que permita un reinicio creíble.
