Duas superfícies de operação DeFi falharam nas últimas 48 horas: uma comprometimento de assinatura de oracle em um exchange de perpétuos de ativos do mundo real e uma exploração de contabilidade de vault que forçou um protocolo de rendimento com sete anos de idade a encerrar completamente. Ostium / Arbitrum: Em 15 de julho de 2026, um atacante que detinha a chave privada de um assinante de oracle comprometida usou o forwarder PriceUpKeep registrado da Ostium para enviar relatórios autorizados de oracle com datas futuras contra o vault de perpétuos RWA do protocolo. O forwarder, um componente de automação legítimo, aceitou os relatórios como válidos porque a chave do assinante não havia sido revogada. O atacante abriu e fechou aproximadamente 20 operações em loop em uma única chamada executeBatch, cada rodada compreendendo a margem de aproximadamente US$ 1.000 até uma posição final que acionou um pagamento de aproximadamente US$ 18 milhões em USDC do vault de liquidez OLP. Blockaid e CertiK sinalizaram o esvaziamento, com estimativas de perda variando entre US$ 18 milhões e US$ 22 milhões, representando aproximadamente 28% do TVL do vault antes da exploração. A Ostium interrompeu imediatamente todas as negociações e recomendou aos usuários revogar as aprovações para todos os contratos do protocolo enquanto aguarda a investigação. Nenhum pós-mortem foi publicado e nenhuma data para retomada das negociações foi fornecida. O vetor de ataque não foi código de contrato inteligente. Foi a chave externa de assinatura que autorizava a entrega dos dados de preço, a mesma classe de infraestrutura que falhou no Bonzo Lend na Hedera e no Lazy Summer Protocol da https://t.co/SVnV4cvqcc no início deste mês. https://t.co/SVnV4cvqcc Labs: Em 16 de julho, https://t.co/SVnV4cvqcc Labs publicou um anúncio de encerramento confirmando que a empresa não tem um caminho viável para seguir após a exploração por flash-loan do Lazy Summer Protocol em 6 de julho. O atacante manipulou o valor patrimonial líquido de dois vaults de Ethereum USDC em uma única transação atômica, doando tokens do vault Silo Varlamore superavaliados para adaptadores de estratégia que haviam sido limitados para desativação, mas ainda permaneciam nos cálculos ativos do preço das ações. Um depósito ao preço real e uma resgate contra ativos líquidos ao preço inflado extraiu aproximadamente US$ 6,04 milhões: US$ 5,64 milhões do vault de menor risco USDC e aproximadamente US$ 400.000 do vault de maior risco. A equipe afirmou que uma parte significativa do próprio capital da empresa estava mantida nos vaults afetados, removendo o recurso necessário para financiar o trabalho de recuperação e as operações contínuas. A interface da https://t.co/SVnV4cvqcc e os canais de suporte permanecerão ativos até 31 de agosto de 2026. O Lazy Summer DAO, um corpo de governança separado, mantém o controle sobre o protocolo subjacente e está trabalhando para restaurar retiradas e resgates do vault independentemente do encerramento da empresa Labs. A https://t.co/SVnV4cvqcc operou por aproximadamente sete anos, surgindo da Maker Foundation em junho de 2021, e o Lazy Summer Protocol havia acumulado quase US$ 200 milhões em TVL durante seus primeiros nove meses antes da exploração encerrar sua operação comercial. Em conjunto, ambas as falhas remontam à mesma lacuna na camada operacional: infraestrutura privilegiada fora da cadeia, uma chave de assinatura de oracle e um cálculo de avaliação de vault, que estavam fora do código de contrato inteligente auditado, mas diretamente no caminho dos fundos dos usuários. Nenhum protocolo foi violado por meio da lógica de seu próprio contrato. Ambos terminaram com interrupções totais das negociações ou operações.
