Ostium kehilangan dana sebesar 18 juta USDC dari vault likuiditasnya di jaringan Arbitrum akibat serangan manipulasi oracle pada 15 Juli 2026. Firma keamanan blockchain Blockaid mengidentifikasi insiden tersebut dan melaporkan bahwa penyerang memanfaatkan komponen otomasi pelaporan harga untuk memalsukan laporan dengan stempel waktu di masa depan.
Protokol perdagangan berjangka terdesentralisasi ini berfokus pada aset dunia nyata seperti emas, forex, dan indeks saham dengan leverage hingga 200x. Dana yang terkuras langsung keluar dari vault karena sistem membaca laporan oracle yang dimanipulasi sebagai tanda posisi perdagangan menguntungkan, padahal kenyataannya sebaliknya.
Kejadian ini bukan isolasi, melainkan bagian dari pola eksploitasi yang terus menghantui sektor keuangan terdesentralisasi. Infrastruktur otomatis yang bertugas membawa data harga dari dunia nyata ke dalam rantai blok kerap menjadi titik lemah. Ostium membangun sistem pemasok harga khusus yang mengandalkan jaringan otomasi pihak ketiga bernama Gelato untuk mendorong data pada momen tepat.
Di tengah proses itu, sebuah kontrak pintar bernama PriceUpKeep berperan sebagai pemicu penulisan data harga terbaru ke blockchain setiap kali ada eksekusi perdagangan. Penyerang berhasil menggunakan forwarder PriceUpKeep yang terdaftar untuk mengirimkan laporan oracle dengan timestamp masa depan. Manipulasi ini menciptakan ilusi bahwa perdagangan merugi sebenarnya menghasilkan keuntungan.
Kerentanan serupa sebelumnya menimpa Summer.fi yang kehilangan 6 juta dolar pekan lalu. Pola umumnya melibatkan aktor jahat yang mendapat akses ke peran istimewa, lalu mengatur waktu atau isi data harga guna menyedot dana dari pool likuiditas. Ketergantungan DeFi pada peran keeper dan oracle memang efisien, namun menyimpan risiko tersembunyi bila kontrol akses tidak ketat.
Bagi ekosistem kripto Indonesia, insiden ini menyoroti bahaya protokol DeFi lintas batas yang mudah diakses oleh pengguna lokal. Meski Bappebti baru mengakui aset kripto sebagai komoditas, minat warga terhadap derivatif terdesentralisasi tetap tinggi melalui jaringan Arbitrum dan lainnya. Pengguna Indonesia yang menyetor USDC ke vault Ostium ikut menanggung kerugian tanpa perlindungan regulasi domestik.
Belum ada exchange berjangka terdesentralisasi lokal yang menawarkan indeks saham atau forex dengan leverage ekstrem seperti Ostium. Namun, platform seperti Pintu, Indodax, dan Tokocrypto sudah memperkenalkan derivatif kripto terpusat. Perbedaannya, kustodi terpusat memberikan semacam jaminan prosedur pemulihan, sementara DeFi menuntut pengguna bertanggung jawab penuh atas kunci privat mereka.
Pergeseran tren investasi generasi muda Indonesia ke aset on-chain membuat edukasi keamanan menjadi krusial. Serangan oracle menunjukkan bahwa audit smart contract saja tidak cukup jika infrastruktur pendukung seperti Gelato dan komponen forwarder tidak diawasi secara menyeluruh. Masyarakat perlu memahami bahwa imbal hasil tinggi dari vault DeFi selalu berbanding lurus dengan risiko eksploitasi.
Blockaid dalam peringatannya menegaskan bahwa penyerang memanfaatkan PriceUpKeep forwarder terdaftar untuk mengirimkan laporan harga dengan timestamp di masa depan. Taktik tersebut sukses memicu pembayaran 18 juta USDC dari vault Ostium. Sebelum insiden, proyek ini telah mengumpulkan total pendanaan 27,8 juta dolar, termasuk putaran Series A 24 juta dolar yang dipimpin bersama General Catalyst dan Jump Crypto akhir 2025.
Ostium tercatat memproses volume perdagangan kumulatif lebih dari 50 miliar dolar sebelum diserang. Pencapaian itu menjadikannya salah satu exchange perp arbitrum dengan basis aset dunia nyata paling aktif. Namun, kepercayaan pengguna kini diuji tatkala otomasi yang seharusnya melindungi likuiditas justru menjadi pintu masuk penyerang.
Ke depan, tim Ostium wajib menghentikan sementara operasi vault dan melakukan audit menyeluruh terhadap kontrak PriceUpKeep serta integrasi Gelato. Protokol sejenis akan mengevaluasi ulang mekanisme penulisan oracle, beralih ke sumber data terdesentralisasi ganda atau menambah validasi tanda waktu dari beberapa node independen.
Gelombang eksploitasi oracle akan terus berlanjut selama DeFi mengandalkan infrastruktur otomatis dengan titik kendali terpusat. Industri butuh standar keamanan baru yang mewajibkan pemisahan tugas antara keeper dan pemicu penulisan data. Tanpa perbaikan struktural, dana miliaran dolar terus mengalir keluar dari protokol yang belum matang secara pengamanan.