فشلت واجهتان للتمويل اللامركزي في الساعات الأربع والثمانين الماضية: اختراق مُوقِّع نموذج بيانات سعر على بورصة عقود مستمرة للأصول الواقعية، واستغلال في حسابات الصندوق أدى إلى إيقاف كامل لبروتوكول عائد عمره سبع سنوات. أوستيوم / أربيترم: في 15 يوليو 2026، استخدم مهاجم يمتلك مفتاحًا خاصًا مُخترقًا لمُوقِّع نموذج البيانات، المُوجِّه المسجل PriceUpKeep الخاص بـ أوستيوم، لتقديم تقارير نموذج بيانات مُصرَّح بها مُؤرَّخة في المستقبل ضد صندوق العقود المستمرة للأصول الواقعية الخاص بالبروتوكول. وقد قبل المُوجِّه، وهو مكوّن أتمتة شرعي، التقارير كصحيحة لأن المفتاح الموقِّع لم يكن قد أُلغي. فتح المهاجم وأغلق حوالي 20 صفقة متكررة في دعوة executeBatch واحدة، حيث زادت كل جولة الهامش من حوالي 1,000 دولار إلى مركز نهائي تسبب في دفع حوالي 18 مليون دولار أمريكي من صندوق السيولة OLP. وقد حذّرت Blockaid وCertiK من التسريب، مع تقديرات للخسائر تتراوح بين 18 مليون و22 مليون دولار، ما يمثل حوالي 28% من إجمالي قيمة الأصول المجمعة (TVL) للصندوق قبل الاستغلال. وأوقفت أوستيوم جميع التداولات فورًا، ونصحت المستخدمين بإلغاء جميع التفويضات الممنوحة لعقود البروتوكول انتظارًا لإتمام التحقيق. ولم يُنشر أي تقرير بعد الحادث، ولا يوجد أي جدول زمني محدد لإعادة تشغيل التداولات. لم يكن متجه الهجوم هو كود العقد الذكي، بل كان المفتاح الخارجي الموقِّع الذي يُصرح بتسليم بيانات الأسعار، وهو نفس فئة البنية التحتية التي فشلت في Bonzo Lend على Hedera وفي بروتوكول Lazy Summer الخاص بـ https://t.co/SVnV4cvqcc في وقت سابق من هذا الشهر. https://t.co/SVnV4cvqcc Labs: في 16 يوليو، نشرت https://t.co/SVnV4cvqcc Labs إعلانًا عن الإغلاق أكد أن الشركة لا تملك أي مسار قابل للتطبيق للمضي قدمًا بعد استغلال القرض الفلاش لبروتوكول Lazy Summer في 6 يوليو. وقد استغل المهاجم القيمة الصافية لصندوقين من USDC على إيثريوم في معاملة ذرية واحدة، من خلال التبرع برموز صندوق Silo Varlamore المُبالغ تقديرها إلى وحدات تكيف الاستراتيجية التي تم تحديد حدودها لإنهاء المشاركة ولكنها ظلت ضمن حسابات سعر السهم النشطة. وقد استخرجت إيداعًا بسعر حقيقي وسحبًا مقابل أصول سائلة بسعر مُبالغ فيه ما يقارب 6.04 مليون دولار: 5.64 مليون دولار من صندوق USDC الأقل خطورة، وحوالي 400,000 دولار من الصندوق الأعلى خطورة. وأفاد الفريق أن جزءًا ذا أهمية من رأس مالهم الخاص كان مخزنًا في الصناديق المتضررة، مما أزال الموارد اللازمة لتمويل أعمال الاسترداد والتشغيل المستمر. وستظل واجهة https://t.co/SVnV4cvqcc وقنوات الدعم نشطة حتى 31 أغسطس 2026. وتحتفظ DAO لبروتوكول Lazy Summer، وهي هيئة حوكمة منفصلة، بالسيطرة على البروتوكول الأساسي، وتعمل على استعادة عمليات السحب والاسترداد من الصناديق بشكل مستقل عن إغلاق شركة Labs. وقد عملت https://t.co/SVnV4cvqcc لمدة سبع سنوات تقريبًا، حيث انفصلت عن مؤسسة Maker في يونيو 2021، وجمع بروتوكول Lazy Summer ما يقارب 200 مليون دولار كإجمالي قيمة أصول مجمعة (TVL) خلال أول تسعة أشهر له قبل أن ينهي الاستغلال عملياته التجارية. معًا، يعود كلا الفشلين إلى نفس الفجوة في طبقة التشغيل: بنية تحتية خارجية ذات صلاحيات خاصة، وهي مفتاح توقيع نموذج البيانات وحساب تقييم الصندوق، والتي كانت خارج كود العقد الذكي المُدقَّق ولكنها كانت مباشرة على مسار أموال المستخدمين. لم يتم اختراق أي من البروتوكولين عبر منطق عقدهما الذكي. وكلاهما انتهى بإيقاف كامل للتداول أو العمليات.
