Deux plateformes DeFi ont échoué au cours des 48 dernières heures : une compromission du signataire d’oracle sur une plateforme d’échanges perpétuels d’actifs du monde réel, et une exploitation comptable de coffre-fort qui a forcé un protocole de rendement âgé de sept ans à cesser complètement ses activités. Ostium / Arbitrum : Le 15 juillet 2026, un attaquant détenant la clé privée compromise d’un signataire d’oracle a utilisé le forwarder PriceUpKeep enregistré par Ostium pour soumettre des rapports d’oracle autorisés datés de l’avenir contre le coffre-fort d’échanges perpétuels RWA du protocole. Le forwarder, un composant d’automatisation légitime, a accepté les rapports comme valides car la clé du signataire n’avait pas été révoquée. L’attaquant a ouvert et fermé environ 20 trades en boucle dans un seul appel executeBatch, chaque cycle cumulant la marge de près de 1 000 $ à une position finale déclenchant un paiement d’environ 18 millions de $USDC depuis le coffre-fort de liquidité OLP. Blockaid et CertiK ont signalé le retrait, avec des estimations de perte variant entre 18 et 22 millions de dollars, soit environ 28 % de la TVL du coffre-fort avant l’exploitation. Ostium a immédiatement arrêté tous les échanges et a recommandé aux utilisateurs de révoquer les autorisations pour tous les contrats du protocole en attendant l’enquête. Aucun post-mortem n’a été publié et aucune date n’a été donnée pour la reprise des échanges. Le vecteur d’attaque n’était pas le code du contrat intelligent, mais la clé externe de signature autorisant la livraison des données de prix — la même classe d’infrastructure qui a échoué chez Bonzo Lend sur Hedera et chez le Lazy Summer Protocol de https://t.co/SVnV4cvqcc plus tôt ce mois-ci. https://t.co/SVnV4cvqcc Labs : Le 16 juillet, https://t.co/SVnV4cvqcc Labs a publié une annonce de fermeture confirmant que l’entreprise n’avait plus aucun chemin viable à suivre après l’exploitation par flash-loan du Lazy Summer Protocol du 6 juillet. L’attaquant a manipulé la valeur liquidative de deux coffres-forts Ethereum USDC dans une seule transaction atomique en dons de jetons survalués du coffre-fort Silo Varlamore dans des adaptateurs de stratégie qui avaient été limités pour le retrait mais restaient inclus dans les calculs actuels du prix des parts. Un dépôt au prix réel et un rachat contre des actifs liquides au prix gonflé ont extrait environ 6,04 millions de dollars : 5,64 millions depuis le coffre-fort USDC à faible risque et environ 400 000 $ depuis le coffre-fort à risque plus élevé. L’équipe a déclaré qu’une part significative de son propre capital était détenue dans les coffres-forts affectés, éliminant la trésorerie nécessaire pour financer les travaux de récupération et les opérations continues. L’interface https://t.co/SVnV4cvqcc et les canaux d’assistance resteront actifs jusqu’au 31 août 2026. Le Lazy Summer DAO, un organe de gouvernance distinct, conserve le contrôle du protocole sous-jacent et travaille à restaurer les retraits et rachats des coffres-forts indépendamment de la fermeture de l’entreprise Labs. https://t.co/SVnV4cvqcc a fonctionné pendant environ sept ans, ayant été issue de la Maker Foundation en juin 2021, et le Lazy Summer Protocol avait accumulé près de 200 millions de dollars de TVL durant ses neuf premiers mois avant que l’exploitation ne mette fin à son activité commerciale. Pris ensemble, ces deux échecs proviennent du même défaut au niveau opérationnel : une infrastructure hors ligne privilégiée — une clé de signataire d’oracle et un calcul d’évaluation de coffre-fort — située en dehors du code de contrat intelligent audité mais directement sur le chemin des fonds des utilisateurs. Aucun des deux protocoles n’a été compromis par sa propre logique contractuelle. Les deux ont abouti à une fermeture totale des échanges ou des opérations.
