Dos superficies de operación DeFi fallaron en las últimas 48 horas: una vulnerabilidad en el firmante de oracle de un exchange de perpétuos de activos del mundo real, y una explotación contable de vault que obligó a un protocolo de rendimiento de siete años a cerrar por completo. Ostium / Arbitrum: El 15 de julio de 2026, un atacante que poseía la clave privada comprometida de un firmante de oracle utilizó el forwarder PriceUpKeep registrado por Ostium para enviar informes de oracle autorizados con fechas futuras contra el vault de perpétuos RWA del protocolo. El forwarder, un componente de automatización legítimo, aceptó los informes como válidos porque la clave del firmante no había sido revocada. El atacante abrió y cerró aproximadamente 20 operaciones en bucle en una sola llamada executeBatch, cada ronda acumulando el margen desde aproximadamente $1,000 hasta una posición final que desencadenó un pago de aproximadamente $18 millones en USDC desde el vault de liquidez OLP. Blockaid y CertiK detectaron el drenaje con estimaciones de pérdidas que oscilan entre $18 millones y $22 millones, lo que representa aproximadamente el 28% del TVL del vault antes de la explotación. Ostium detuvo inmediatamente todas las operaciones y recomendó a los usuarios revocar los permisos para todos los contratos del protocolo mientras se realiza la investigación. No se ha publicado ningún post-mortem ni se ha proporcionado ninguna cronología para reanudar las operaciones. El vector de ataque no fue código de contrato inteligente, sino la clave externa de firma que autorizaba la entrega de datos de precios, la misma clase de infraestructura que falló en Bonzo Lend en Hedera y en el Lazy Summer Protocol de https://t.co/SVnV4cvqcc a principios de este mes. https://t.co/SVnV4cvqcc Labs: El 16 de julio, https://t.co/SVnV4cvqcc Labs publicó un anuncio de cierre confirmando que la empresa no tiene un camino viable hacia adelante tras la explotación mediante flash-loan del Lazy Summer Protocol el 6 de julio. El atacante manipuló el valor liquidativo de dos vaults de Ethereum USDC en una sola transacción atómica al donar tokens del vault Silo Varlamore sobrevaluados a adaptadores de estrategia que habían sido limitados para la salida pero seguían incluidos en los cálculos activos del precio por acción. Un depósito al precio real y una redención contra activos líquidos al precio inflado extrajo aproximadamente $6,04 millones: $5,64 millones del vault USDC de menor riesgo y aproximadamente $400,000 del vault de mayor riesgo. El equipo afirmó que una parte significativa de su propio capital estaba mantenido en los vaults afectados, eliminando el margen necesario para financiar el trabajo de recuperación y las operaciones continuas. La interfaz https://t.co/SVnV4cvqcc y los canales de soporte permanecerán activos hasta el 31 de agosto de 2026. El Lazy Summer DAO, un cuerpo de gobernanza independiente, conserva el control sobre el protocolo subyacente y trabaja para restaurar los retiros y redenciones del vault independientemente del cierre de la empresa Labs. https://t.co/SVnV4cvqcc operó durante aproximadamente siete años, surgiendo de la Maker Foundation en junio de 2021, y el Lazy Summer Protocol había acumulado casi $200 millones en TVL durante sus primeros nueve meses antes de que la explotación pusiera fin a su operación comercial. En conjunto, ambas fallas se rastrean hasta la misma brecha en la capa de operación: infraestructura externa con privilegios, una clave firmante de oracle y un cálculo de valuación de vault, que estaban fuera del código de contrato inteligente auditado pero directamente en la ruta de los fondos de los usuarios. Ningún protocolo fue comprometido a través de su propia lógica contractual. Ambos terminaron con cierres totales de operaciones o trading.
