গত ৪৮ ঘণ্টায় দুটি DeFi অপারেটিং সারফেস ব্যর্থ হয়েছে: বাস্তব বিশ্বের সম্পদের উপর ভিত্তি করে তৈরি একটি perpetuals এক্সচেঞ্জ-এ একটি oracle signer কমপ্রোমাইজ, এবং একটি vault accounting exploit যা একটি সাত বছরের পুরোনো yield প্রোটোকলকে সম্পূর্ণভাবে কার্যক্রম বন্ধ করতে বাধ্য করেছে। Ostium / Arbitrum: ১৫ জুলাই, ২০২৬ তারিখে, একটি আক্রমণকারী একটি কমপ্রোমাইজড oracle signer প্রাইভেট কী ব্যবহার করে Ostium-এর নিবন্ধিত PriceUpKeep forwarder-এর মাধ্যমে প্রোটোকলের RWA perpetuals vault-এর বিরুদ্ধে ভবিষ্যৎ-তারিখযুক্ত অনুমোদিত oracle রিপোর্ট জমা দেয়। forwarder, যা একটি বৈধ অটোমেশন কম্পোনেন্ট, রিপোর্টগুলোকে বৈধ হিসেবে গ্রহণ করে, কারণ signer কীটি বাতিল করা হয়নি। আক্রমণকারী একটি একক executeBatch কল-এ প্রায় ২০টি লুপড ট্রেড খুলে এবং বন্ধ করে, যেখানে প্রতিটি রাউন্ডে প্রায় $১,০০০ মার্জিন কম্পাউন্ড হয়ে শেষ পর্যন্ত এমন একটি অবস্থানে পৌঁছায় যা OLP liquidity vault থেকে প্রায় $১৮ মিলিয়ন USDC পেআউট ট্রিগার করে। Blockaid এবং CertiK এই ড্রেনটিকে ফ্ল্যাগ করেছে, যেখানে ক্ষতির অনুমান $১৮ মিলিয়ন থেকে $২২ মিলিয়নের মধ্যে, যা exploit-পূর্ব vault-এর TVL-এর প্রায় ২৮% এর সমান। Ostium সঙ্গে সঙ্গে সব ধরনের ট্রেডিং বন্ধ করে দিয়েছে এবং তদন্ত চলাকালীন ব্যবহারকারীদের সব প্রোটোকল কন্ট্র্যাক্টের জন্য অনুমোদন (approval) বাতিল করার সুপারিশ করেছে। এখনও কোনো post-mortem প্রকাশ করা হয়নি এবং ট্রেডিং পুনরায় শুরু করার কোনো সময়সূচি দেওয়া হয়নি। আক্রমণের ভেক্টরটি স্মার্ট চুক্তি কোড ছিল না। এটি ছিল বাহ্যিক signing key, যা মূল্য সংক্রান্ত ডেটা ডেলিভারি অনুমোদন করত—একই ধরনের অবকাঠামো শ্রেণি, যা এই মাসের শুরুর দিকে Hedera-তে Bonzo Lend এবং https://t.co/SVnV4cvqcc-এর Lazy Summer Protocol-এ ব্যর্থ হয়েছিল। https://t.co/SVnV4cvqcc Labs: ১৬ জুলাই, https://t.co/SVnV4cvqcc Labs একটি shutdown ঘোষণা প্রকাশ করেছে, যেখানে নিশ্চিত করা হয়েছে যে Lazy Summer Protocol-এর ৬ জুলাইয়ের flash-loan exploit-এর পর কোম্পানির সামনে এগিয়ে যাওয়ার কোনো কার্যকর পথ নেই। আক্রমণকারী একটি একক atomic ট্রানজ্যাকশনে দুটি Ethereum USDC vault-এর সম্পদের মোট মূল্য ম্যানিপুলেট করে, অত্যধিক মূল্যায়িত Silo Varlamore vault টোকেন strategy adapter-গুলোর মধ্যে দান করে, যেগুলো offboarding-এর জন্য সীমাবদ্ধ করা হয়েছিল কিন্তু সক্রিয় share-price হিসাবের মধ্যে থেকেই গিয়েছিল। প্রকৃত মূল্যে একটি জমা এবং উচ্চমূল্যে liquid asset-এর বিপরীতে একটি রিডেম্পশন করে প্রায় $৬.০৪ মিলিয়ন বের করে নেওয়া হয়: নিম্ন-ঝুঁকির USDC vault থেকে $৫.৬৪ মিলিয়ন এবং উচ্চ-ঝুঁকির vault থেকে প্রায় $৪০০,০০০। দলটি জানিয়েছে যে তাদের নিজস্ব মূলধনের একটি তাৎপর্যপূর্ণ অংশ প্রভাবিত vault-গুলোতে রাখা ছিল, যা পুনরুদ্ধার কাজ এবং ধারাবাহিক কার্যক্রমের জন্য প্রয়োজনীয় runway সরিয়ে দেয়। https://t.co/SVnV4cvqcc ইন্টারফেস এবং সাপোর্ট চ্যানেলগুলো ৩১ আগস্ট, ২০২৬ পর্যন্ত সক্রিয় থাকবে। Lazy Summer DAO, যা একটি পৃথক গভর্নেন্স সংস্থা, অন্তর্নিহিত প্রোটোকলের উপর নিয়ন্ত্রণ বজায় রেখেছে এবং Labs কোম্পানির বন্ধ হওয়া সত্ত্বেও স্বাধীনভাবে vault withdrawals এবং redemptions পুনরুদ্ধার করতে কাজ করছে। https://t.co/SVnV4cvqcc প্রায় সাত বছর ধরে পরিচালিত হয়েছে; এটি জুন ২০২১-এ Maker Foundation থেকে spin out হয়, এবং Lazy Summer Protocol exploit-এর মাধ্যমে এর বাণিজ্যিক কার্যক্রম শেষ হওয়ার আগে প্রথম নয় মাসে প্রায় $২০০ মিলিয়ন TVL সংগ্রহ করেছিল। একসঙ্গে বিবেচনা করলে, উভয় ব্যর্থতাই একই অপারেটিং-লেয়ার ফাঁকির দিকে ইঙ্গিত করে: বিশেষাধিকারপ্রাপ্ত off-chain অবকাঠামো—একটি oracle signer key এবং একটি vault valuation হিসাব—যেগুলো অডিটকৃত স্মার্ট চুক্তি কোডের বাইরে ছিল, কিন্তু সরাসরি ব্যবহারকারীর তহবিলের পথের মধ্যে অবস্থান করছিল। কোনো প্রোটোকলই নিজেদের কন্ট্র্যাক্ট লজিকের মাধ্যমে ভাঙা হয়নি। উভয় ক্ষেত্রই পূর্ণ ট্রেডিং বা অপারেশনাল shutdown দিয়ে শেষ হয়েছে।