Exploit de oráculo en Ostium: qué deben hacer los proveedores de liquidez ahora

17 de julio de 2026·8 min de lectura·Respuesta a Incidentes

El 15 de julio de 2026, entre las 14:18 y las 14:23 UTC, un atacante drenó aproximadamente 18 millones de dólares en USDC del vault OLP (Ostium Liquidity Pool) de Ostium en Arbitrum. El exploit aprovechó una clave de firmante de oráculo comprometida para inyectar informes de precios falsos con fecha futura, generando beneficios artificiales que se pagaron directamente desde el vault. Si depositaste USDC en el vault OLP de Ostium, tus fondos se vieron directamente afectados. Esta guía cubre lo que debes hacer ahora mismo.

Acción inmediata requerida

Si tenías USDC depositado en el vault OLP de Ostium o tenías aprobaciones de tokens activas para contratos de Ostium, revoca esas aprobaciones inmediatamente usando Revoke.cash (Arbitrum). No interactues con ninguna persona no solicitada que afirme poder ayudarte a recuperar fondos.

1. Qué ocurrió

Ostium es un exchange descentralizado de futuros perpetuos construido sobre Arbitrum que permite a los traders abrir posiciones apalancadas (hasta 200x) en activos del mundo real como futuros del S&P 500, oro, materias primas y divisas. El vault OLP (Ostium Liquidity Pool) actúa como capa de liquidación: los usuarios depositan USDC en el vault para actuar como contraparte de las posiciones de los traders, ganando rendimiento de las comisiones.

El 15 de julio de 2026, entre las 14:18 y las 14:23 UTC, un atacante exploitó el sistema de oráculos de Ostium. Obtuvo acceso a un componente llamado PriceUpKeep forwarder, responsable de enviar datos de precios externos a la cadena. En lugar de precios de mercado legítimos, el atacante inyectó informes de oráculos falsos con fecha futura para el par BTC/USD. Estos precios manipulados hicieron que las operaciones perdedoras parecieran muy rentables. El atacante abrió y cerró inmediatamente posiciones a estos precios artificiales, haciendo que el protocolo pagara grandes sumas desde el vault OLP.

Las firmas de seguridad Blockaid, Cyvers y Decurity detectaron las salidas sospechosas en tiempo real. Ostium confirmó el incidente y pausó todas las operaciones en menos de una hora. El saldo del vault OLP cayó de aproximadamente 32,7 millones a 9 millones de USDC: una pérdida de aproximadamente el 72%. Los fondos robados fueron convertidos a ETH y canalizados a través de Tornado Cash. A 17 de julio de 2026, Ostium no ha publicado un informe post-mortem definitivo ni ha anunciado un plan de compensación.

2. Quiénes están afectados

Proveedores de liquidez del vault OLP (afectados directamente)

Si depositaste USDC en el vault OLP de Ostium para obtener rendimiento, tus fondos están en riesgo. El vault fue el objetivo directo y sufrió una caída del 72%. La magnitud de la recuperación individual dependerá del mecanismo de compensación que establezca Ostium y de si las autoridades pueden congelar los activos robados.

Traders con posiciones abiertas

Ostium ha declarado que el margen de los traders y las posiciones abiertas están congelados y no fueron robados. El trading permanece pausado. Monitoriza los canales oficiales de Ostium para saber cuándo se reanudaran los retiros. Tu colateral parece estar preservado, pero no puedes actuar sobre posiciones hasta que se reanude el trading.

Usuarios con aprobaciones activas

Cualquier cartera que haya interactuado con Ostium puede tener aprobaciones de USDC u otros tokens pendientes para los contratos de Ostium. El propio Ostium ha aconsejado a los usuarios que revoquen estas aprobaciones. Aunque no tengas posiciones abiertas, revócalas ahora como precaución.

3. Pasos de acción inmediata

Sigue estos pasos ahora. El orden importa: no te saltes ninguno.

Deja de interactuar con los contratos de Ostium. No intentes cerrar posiciones, retirar fondos ni interactuar con ningún interfaz de Ostium hasta que el equipo proporcione orientación oficial.
Revoca todas las aprobaciones de tokens de Ostium en Arbitrum. Ve a revoke.cash/token-approval-checker/arbitrum, conecta tu cartera y revoca cualquier aprobación listada para una dirección de contrato de Ostium.
Documenta todas las transacciones. Exporta el historial de transacciones de tu cartera desde Arbiscan. Registra cada depósito en el vault OLP, incluyendo fechas, importes y hashes de transacción.
Presenta una denuncia ante el FBI IC3. Ve a ic3.gov y envía una queja. Incluye las direcciones de contratos de Ostium, los hashes de tus transacciones, los importes depositados y las fechas.
Denuncia ante tu regulador financiero local. Presenta una queja ante la autoridad de crimen financiero de tu país (FCA en el Reino Unido, BaFin en Alemania, FINMA en Suiza, etc.).
Contacta con el exchange donde compraste USDC. Si compraste USDC en un exchange centralizado antes de depositarlo en Ostium, contacta al equipo de cumplimiento de ese exchange con las direcciones de cartera de destino.
Desconfía de las estafas de recuperación. Tras cualquier exploit importante de DeFi, los datos de víctimas circulan en redes criminales. Cualquiera que te contacte de forma no solicitada pidiendo tarifas anticipadas en cripto está realizando casi con certeza una segunda estafa.

4. Cómo comprobar si fuiste afectado

Usa estas herramientas para verificar tu exposición:

Historial de cartera en Arbiscan: Busca tu dirección en arbiscan.io. Busca transacciones a direcciones de contratos de Ostium. Cualquier transferencia de USDC al contrato del vault OLP significa que eres proveedor de liquidez y estás directamente afectado.
Revoke.cash (Arbitrum): Visita revoke.cash/token-approval-checker/arbitrum y conecta tu cartera. Si aparece algún contrato de Ostium como gastador aprobado para USDC u otros tokens, revócalo inmediatamente.
De.Fi Shield: Conecta tu cartera de Arbitrum en de.fi para una evaluación de riesgos de las aprobaciones activas.
Comunicaciones oficiales de Ostium: Monitoriza el sitio web y la documentación oficial de Ostium para actualizaciones sobre el cronograma del incidente, las carteras afectadas y cualquier mecanismo de compensación.
DeFiLlama: Consulta defillama.com/protocol/ostium para ver el TVL actual y el estado del vault.

5. En qué puede ayudar Recoveris

Recoveris es una firma de inteligencia blockchain especializada en el rastreo de criptoactivos robados. En casos de compromiso de clave de oráculo como el exploit de Ostium, la forensia blockchain desempeña un papel específico.

Los USDC robados fueron convertidos a ETH y canalizados a través de Tornado Cash. Aunque Tornado Cash ofusca los flujos directos de fondos, la forensia en la cadena todavía puede identificar patrones de clustér, intentos de depósito en exchanges y huellas de comportamiento en transacciones posteriores. Chainalysis y TRM Labs han documentado que un porcentaje significativo de los fondos enviados a través de servicios de mezcla todavía llegan a direcciones de depósito de exchanges identificables.

Si tu pérdida supera el equivalente a 50.000 USD, tienes registros completos de transacciones y estás dispuesto a cooperar con las autoridades, Recoveris puede ayudarte con un mapeo forense de los fondos robados y la preparación de un informe de evidencia blockchain para agencias policiales.

Importante:

La forensia blockchain no garantiza la recuperación de fondos. Apoya investigaciones policiales y refuerza reclamaciones legales. El equipo de recuperación de activos del IC3 tiene un sólido historial, pero el éxito depende de la rapidez y los registros completos. Presenta tu informe en el IC3 primero.

6. Recursos oficiales

Sitio oficial de Ostium: ostium.io - comprueba las actualizaciones del incidente y los anuncios de compensación
SEAL 911 (respuesta de emergencia DeFi): seal911.io - Ostium colabora con este equipo de seguridad
FBI IC3: ic3.gov
FTC: reportfraud.ftc.gov
Revocar aprobaciones (Arbitrum): revoke.cash/token-approval-checker/arbitrum
Ostium en Arbiscan: arbiscan.io para verificar el historial de transacciones

7. Preguntas frecuentes

Deposité USDC en el vault OLP de Ostium. ¿Son mis fondos irrecuperables?

Los proveedores de liquidez del vault OLP soportaron la pérdida directa. El vault cayó de aproximadamente 32,7 millones a 9 millones de USDC, una reducción del 72%. La recuperación dependerá del plan de compensación de Ostium (aún no anunciado a 17 de julio) y de si las autoridades pueden congelar los activos robados antes de que sean lavados completamente. Presentar una denuncia ahora establece tu legitimación legal para cualquier reclamación futura.

Mis posiciones de trading en Ostium siguen abiertas. ¿Qué pasa con mi margen?

Ostium ha declarado que el margen de los traders y las posiciones abiertas están congelados y no fueron afectados por el exploit. El trading permanece pausado mientras continúa la investigación. Sigue los canales oficiales de Ostium para actualizaciones sobre cuándo se reanudara la gestión de posiciones y los retiros. Tu colateral parece estar preservado.

Alguien me contactó ofreciendo recuperar mis fondos de Ostium. ¿Debo pagar?

No. Tras cualquier exploit importante de DeFi, los datos de víctimas circulan en redes criminales y los estafadores de recuperación atacan directamente a los afectados. Cualquiera que te contacte de forma no solicitada pidiendo tarifas anticipadas en criptomonedas está realizando casi con certeza una segunda estafa. Las firmas forenses legítimas proporcionan cartas de contratación escritas, nunca garantizan resultados y nunca aceptan criptomonedas como pago de honorarios.

¿Perdiste fondos en el exploit de Ostium?

Recoveris se especializa en forensia blockchain y recuperación de activos digitales. Podemos ayudarte a documentar tu pérdida, rastrear fondos y construir un caso para las autoridades.

Obtener evaluación gratuita