오스티움(Ostium) 오라클 조작 2375만달러 해킹 사건

아비트럼 기반 탈중앙 파생상품 거래 플랫폼 오스티움에서 2026년 7월15일 협정세계시(UTC) 14시18분경 공격이 시작됐다. 사후 조사 결과 근본 원인은 가격 정보를 공급하는 오라클 서명자의 개인 키가 손상된 데 있었다. 공격자는 이 개인 키를 이용해 등록된 PriceUpKeep 포워더를 통해 미래 날짜가 지정된 인가된 가격 보고서를 제출할 수 있었다. 이를 통해 정상적인 검증 절차를 우회하고 자신에게 유리한 가격을 시스템에 주입하는 것이 가능해졌다. 이는 스마트컨트랙트 코드 자체의 결함이 아니라 오프체인 인프라가 뚫린 사례로 분류됐다.

공격자는 먼저 100 USDC의 소규모 포지션으로 테스트를 진행해 약 897.8 USDC의 인위적 수익을 얻어 조작 방법이 작동함을 확인했다. 이후 방법이 유효함을 확신하자 약 1190만 USDC를 자신의 수혜자 지갑으로 이체하는 대규모 배치를 실행했다. 공격자는 이 같은 방식으로 6가지 추가 독립 사이클을 진행하며 약 20개의 루프 거래를 실행했다. 위임된 행동을 통해 실제 시장 노출 없이도 프로토콜 비용으로 즉시 수익을 얻는 구조였다. 공격은 UTC 기준 14시18분부터 14시24분까지 단 5분여 만에 완료됐고, 탈취 규모는 총 2375만2746 USDC(약 350억원)에 달했다.

오스티움 운영진은 공격이 발생한 다음 날인 2026년 7월16일 커뮤니티 채널을 통해 이상 거래가 감지돼 플랫폼 거래를 전면 중단했다고 처음 알렸다. 회사 측은 자동 모니터링 시스템이 비정상적인 자금 유출 패턴을 포착해 추가 피해를 막았다고 설명했다. 다만 이미 유동성 공급자(LP) 금고에서 대규모 자산이 빠져나간 뒤였던 것으로 확인됐다. 오스티움은 사고 원인 규명을 위한 자체 조사에 착수했다고 밝히며 이용자들에게 추가 공지를 예고했다. 이 발표로 오스티움 관련 커뮤니티에서는 예치 자산의 안전성에 대한 우려가 커졌다.

데일리시큐 등 보안 전문매체는 오스티움 해킹의 최종 탈취 규모가 2375만2746 USDC, 한화 약 349억7425만원에 달한다고 보도했다. 근본 원인은 오라클 서명자의 개인 키가 외부에 손상·유출된 데 있었으며, 이는 스마트컨트랙트 자체의 버그가 아니라는 점에서 다른 디파이 해킹과 성격이 달랐다. 보안 전문가들은 가격 오라클처럼 온체인과 오프체인을 잇는 연결고리가 디파이 프로토콜의 새로운 공격 표면으로 부상하고 있다고 지적했다. 유사한 오라클 구조를 쓰는 다른 파생상품 프로토콜에도 보안 점검이 필요하다는 경고가 이어졌다. 오스티움은 서명 키 관리 체계 전반을 재점검하겠다고 밝혔다.

블록체인 분석업체 갤럭시리서치는 오스티움에서 탈취된 자금의 흐름을 추적한 결과 하나의 지갑으로부터 뻗어나간 8건의 송금 내역을 확인했다고 밝혔다. 확인된 송금액은 약 1186만달러, 449만달러, 359만달러 등으로 나뉘어 여러 지갑에 분산된 것으로 나타났다. 이러한 자금 분산은 탈취 자금의 최종 종착지를 추적하기 어렵게 만드는 전형적 세탁 수법으로 지적됐다. 해외 코인 매체들도 이번 공격을 2026년 디파이 오라클 공격의 대표 사례로 꼽으며 자금 이동 상황을 지속 보도했다. 피해를 고스란히 떠안은 유동성 공급자들을 위한 보상 계획은 이 시점까지 확정되지 않았다.

오스티움은 사고 발생 8일 만인 2026년 7월23일(현지시각) 거래를 재개했다고 발표했다. 회사 측은 오라클 서명 체계를 점검하고 취약점으로 지목된 부분을 우선 보완한 뒤 거래를 다시 열었다고 설명했다. 그러나 유동성 공급자들이 입은 손실에 대한 구체적 보상안은 이 시점에서도 확정되지 않은 상태로 남았다. 일부 이용자들은 재발 방지 대책이 충분히 검증되지 않은 상태에서 서둘러 거래를 재개한 것 아니냐는 의문을 제기했다. 오스티움은 추후 상세한 사고 백서(post-mortem)를 공개하겠다고 예고했다.

오스티움은 2026년 7월30일 사고 경위를 정리한 포스트모템(사후 분석) 보고서를 공개하고, 이번 사건이 스마트컨트랙트 결함이 아닌 오프체인 오라클 서명자의 개인 키 손상에서 비롯됐다고 공식 결론지었다. 보고서는 공격자가 정상 절차를 거친 것처럼 위장된 가격 보고서를 제출해 검증을 우회한 구체적 기술 경위를 상세히 담았다. 회사는 서명 키 관리와 모니터링 체계를 전면 개편하겠다고 밝혔지만, 손실을 떠안은 유동성 공급자에 대한 보상 계획은 여전히 확정되지 않았다고 인정했다. 업계에서는 오프체인 인프라 보안이 온체인 코드 감사만큼 중요해졌다는 교훈을 남긴 사건으로 평가했다. 이 사건은 2026년 상반기 디파이 오라클 공격 피해 급증 흐름을 보여주는 대표 사례로 거론된다.