Ostium victime d'un piratage de 18 M$ : pourquoi les attaques par manipulation d'oracle se multiplient dans la DeFi

Selon les données rapportées le 15 juillet 2026, le protocole de contrats perpétuels Ostium, déployé sur Arbitrum, a été victime d'un piratage ayant drainé jusqu'à 18 millions de dollars de son coffre de liquidité. L'attaque, détectée par la société de sécurité blockchain Blockaid, repose sur une technique de manipulation d'oracle qui illustre une tendance de fond inquiétante pour l'ensemble de la finance décentralisée cette année.

Que s'est-il passé chez Ostium ?

Un attaquant a réussi à exploiter un composant enregistré du système d'automatisation des flux de prix d'Ostium, un mécanisme appelé « PriceUpKeep forwarder », combiné à des rapports d'oracle autorisés mais falsifiés avec un horodatage futur. En clair, l'attaquant a réussi à faire croire au protocole que des transactions perdantes étaient en réalité profitables, déclenchant un versement d'environ 18 millions de dollars en USDC depuis le coffre de liquidité OLP du protocole. Face à la situation, Ostium a immédiatement suspendu les échanges sur sa plateforme et confirmé qu'une enquête interne était en cours, sans toutefois valider publiquement le montant exact des pertes ni le détail précis du mécanisme employé.

Comment fonctionne cette manipulation d'oracle ?

À l'origine de l'exploit se trouverait une clé privée compromise appartenant à l'un des signataires autorisés de l'oracle du protocole. Cette compromission aurait permis à l'attaquant de contourner les vérifications habituelles et de soumettre des prix futurs favorables, validés comme légitimes par le système. En s'appuyant sur cette faille, l'attaquant aurait exécuté une vingtaine de transactions en boucle via des actions déléguées, empochant un profit instantané sans jamais prendre de véritable exposition au marché. Les données on-chain analysées font état d'un montant compris entre environ 11,9 et 18 millions de dollars d'USDC extraits, ce qui représenterait près de 28 % de la valeur totale verrouillée du coffre concerné, évaluée à environ 63 millions de dollars au moment de l'attaque.

Ostium est-il un cas isolé ?

Non, loin de là. Cet exploit s'inscrit dans une vague d'attaques par manipulation d'oracle qui frappe la DeFi tout au long de l'année 2026. À peine une semaine plus tôt, le protocole Summer.fi avait déjà perdu environ 6 millions de dollars dans des circonstances similaires. Plus tôt dans l'année, le 1er avril 2026, Drift Protocol avait subi le plus gros piratage DeFi de l'année avec plus de 280 millions de dollars drainés de ses coffres. Le mois suivant, Rhea Finance perdait environ 7,6 millions de dollars via une attaque coordonnée où des tokens frauduleux avaient été créés puis utilisés pour manipuler les flux de prix et emprunter des actifs sur la base d'une collatéralisation artificiellement gonflée. Sur la blockchain Stellar, le protocole de prêt YieldBlox avait quant à lui perdu environ 10,2 millions de dollars après qu'un trader malveillant a fait grimper artificiellement le prix d'un token, faussant l'oracle de moyenne pondérée par le volume (VWAP) utilisé par le protocole.

Pourquoi les oracles sont-ils une cible privilégiée des hackers ?

Un oracle, dans le contexte de la finance décentralisée, désigne le

mécanisme chargé de transmettre à un protocole des données extérieures à la

blockchain, notamment les prix des actifs. Ces briques techniques constituent

un point de passage obligé pour de nombreux protocoles de prêt, de trading à

effet de levier ou de gestion de collatéral, ce qui en fait une cible de choix

fausser une seule donnée de prix suffit parfois à déséquilibrer tout un système censé reposer sur une information fiable et vérifiable. Depuis 2023, la manipulation d'oracle figure de manière constante parmi les trois vecteurs d'attaque les plus fréquents en DeFi, représentant environ 23 % de l'ensemble des exploits recensés sur les protocoles. Les analystes en sécurité notent également un déplacement progressif des attaquants vers des projets plus récents ou de taille plus modeste, dont les audits de sécurité et les dispositifs de surveillance sont souvent moins robustes que ceux des grands protocoles historiques.

Quelles leçons pour les utilisateurs de la DeFi ?

Cette série d'incidents rappelle que la promesse d'automatisation et de confiance minimale portée par la finance décentralisée reste conditionnée à la robustesse des briques techniques sur lesquelles elle repose, en particulier les oracles de prix. Pour les utilisateurs, cela implique de privilégier les protocoles ayant fait l'objet d'audits indépendants réguliers, de vérifier la diversité des sources de prix utilisées par les oracles d'un protocole donné, et de garder à l'esprit qu'une valeur totale verrouillée élevée n'est pas, en soi, une garantie contre ce type d'attaque technique. Pour l'écosystème dans son ensemble, l'enjeu est désormais de généraliser des mécanismes de vérification plus stricts des signatures et des horodatages d'oracle, afin d'éviter que des composants d'automatisation censés fluidifier le fonctionnement des protocoles ne deviennent, comme chez Ostium, leur principale porte d'entrée pour les attaquants.

Points clés à retenir

• Ostium, protocole de contrats perpétuels sur Arbitrum, a perdu jusqu'à 18 M$ dans une attaque par manipulation d'oracle détectée le 15 juillet 2026.
• L'attaquant aurait exploité une clé de signataire d'oracle compromise pour soumettre de faux prix futurs et simuler des trades profitables.
• Le montant dérobé représenterait environ 28 % du TVL du coffre visé.
• Cet exploit s'ajoute à une longue liste d'attaques par manipulation d'oracle en 2026 : Summer.fi (6 M$), Drift Protocol (280 M$+), Rhea Finance (7,6 M$) et YieldBlox (10,2 M$).
• La manipulation d'oracle reste l'un des trois principaux vecteurs d'attaque en DeFi depuis 2023, soit environ 23 % des exploits recensés.

Cet article est fourni à titre informatif et ne constitue pas un conseil en investissement.