Ostium verliest $18 miljoen door slimme hack op prijsfeeds

Hacker misleidt DeFi-platform met vervalste prijsgegevens

Blockchainbeveiliger Blockaid ontdekte de aanval. Volgens het beveiligingsbedrijf maakte de hacker misbruik van een onderdeel van Ostiums eigen infrastructuur om vervalste prijsgegevens met toekomstige tijdstempels naar de blockchain te sturen. Daardoor leek het alsof bepaalde transacties veel winst hadden opgeleverd, waarna het protocol automatisch miljoenen dollars uitkeerde.

Hoe kon de Ostium hack plaatsvinden?

Ostium is een gedecentraliseerd handelsplatform waarop gebruikers kunnen speculeren op de prijs van onder meer grondstoffen, valuta en aandelenindices. De transacties worden afgerekend in USDC, een stablecoin waarvan de waarde is gekoppeld aan de Amerikaanse dollar.

Om de prijzen van deze traditionele markten op de blockchain beschikbaar te maken, gebruikt Ostium een eigen oracle-systeem. Een oracle is een technologie die betrouwbare gegevens van buiten de blockchain doorstuurt naar smart contracts. Zonder deze prijsinformatie kunnen DeFi-platforms geen eerlijke transacties uitvoeren.

Volgens Blockaid wist de aanvaller een geautoriseerde PriceUpKeep forwarder te gebruiken. Dit onderdeel van het systeem verzorgt normaal gesproken de automatische prijsupdates. Door prijsrapporten met een toekomstige tijdstempel te versturen, ontstond een onjuiste koers waarop het protocol vertrouwde. Het resultaat was een fictieve handelswinst van ongeveer 18 miljoen USDC, die direct uit de liquiditeitspool werd uitgekeerd.

Opnieuw een aanval op de infrastructuur van DeFi

De aanval op Ostium staat niet op zichzelf. De afgelopen jaren richtten hackers zich steeds vaker op oracles en andere geautomatiseerde systemen die DeFi-protocollen aansturen. Zodra een aanvaller invloed krijgt op de aangeleverde prijsgegevens of de timing van updates, kan een protocol verkeerde beslissingen nemen en onterecht geld uitbetalen.

Vorige week verloor ook Summer.fi ongeveer 6 miljoen dollar door een vergelijkbare aanval. Dat onderstreept dat de grootste risico’s binnen DeFi zich niet alleen bevinden in smart contracts, maar ook in de infrastructuur die deze contracten van externe gegevens voorziet.

Ostium groeide snel binnen de markt voor real-world assets

Ostium draait op Arbitrum, een zogenoemde Layer 2 van Ethereum. Een Layer 2 verwerkt transacties sneller en goedkoper dan het Ethereum-netwerk zelf, terwijl de beveiliging grotendeels behouden blijft.

Het platform richt zich op de handel in real-world assets (RWA’s), zoals goud, olie, valuta en aandelenindices. Gebruikers kunnen daarbij handelen met een hefboom tot 200 keer hun ingelegde bedrag. Dat vergroot de kans op hogere winsten, maar brengt ook aanzienlijk meer risico met zich mee.

Ondanks zijn relatief jonge leeftijd groeide Ostium snel. Het platform verwerkte inmiddels meer dan 50 miljard dollar aan handelsvolume en haalde in totaal 27,8 miljoen dollar aan investeringen op. Daarvan kwam 24 miljoen dollar uit een Series A-financieringsronde eind 2025, geleid door General Catalyst en Jump Crypto.

Beveiliging blijft een van de grootste uitdagingen voor DeFi

De Ostium hack laat zien dat een goed werkend smart contract alleen niet voldoende is. Ook de systemen die prijsinformatie verzamelen en doorgeven moeten volledig betrouwbaar zijn. Zodra daar een zwakke plek ontstaat, kunnen de financiële gevolgen groot zijn.

Nu DeFi-platforms steeds complexere producten aanbieden en steeds meer kapitaal aantrekken, neemt ook het belang van sterke beveiliging toe. Voor beleggers is dit opnieuw een herinnering dat technische risico’s een belangrijk onderdeel blijven van investeren in gedecentraliseerde financiële toepassingen.

Conclusie

Met een buit van ongeveer 18 miljoen dollar behoort de Ostium hack tot de grootste DeFi-aanvallen van de afgelopen periode. De aanval laat zien hoe belangrijk betrouwbare prijsfeeds zijn voor protocollen die volledig geautomatiseerd werken. Zolang hackers zich blijven richten op deze infrastructuur, zullen beveiliging en risicobeheer een centrale rol blijven spelen binnen de verdere ontwikkeling van DeFi.

FAQ

Wat is een oracle binnen DeFi?

Een oracle brengt gegevens van buiten de blockchain, zoals beurskoersen of wisselkoersen, naar smart contracts. Daardoor kunnen DeFi-platforms automatisch transacties uitvoeren op basis van actuele marktinformatie.

Waarom gebruikte de hacker toekomstige prijsgegevens?

Door prijsupdates met een toekomstige tijdstempel te versturen, leek het alsof bepaalde transacties veel winst hadden gemaakt. Het protocol zag deze informatie als geldig en keerde daardoor onterecht miljoenen dollars uit.

Wat betekent deze hack voor DeFi-beleggers?

De aanval laat zien dat niet alleen smart contracts risico’s kennen. Ook de systemen die prijsinformatie leveren kunnen een zwakke schakel vormen. Daarom blijft goed risicobeheer belangrijk, ook bij grotere en bekende DeFi-platforms.