За последние 48 часов два DeFi-интерфейса потерпели неудачу: компрометация подписанта оракула на бирже перпетуалов реальных активов и эксплуатация учета вейта, вынудившая семилетний протокол доходности полностью прекратить работу. Ostium / Arbitrum: 15 июля 2026 года злоумышленник, владевший скомпрометированным приватным ключом подписанта оракула, использовал зарегистрированный в Ostium форвардер PriceUpKeep для отправки авторизованных отчетов оракула с будущей датой против вейта перпетуалов RWA протокола. Форвардер, являющийся легитимным компонентом автоматизации, принял отчеты как действительные, поскольку ключ подписанта не был отозван. Злоумышленник открыл и закрыл примерно 20 циклических сделок в одном вызове executeBatch, при этом каждый цикл увеличивал маржу с примерно $1 000 до позиции, которая спровоцировала выплату около $18 млн USDC из ликвидного вейта OLP. Blockaid и CertiK зафиксировали вывод средств с оценкой убытков от $18 млн до $22 млн, что составляет примерно 28% TVL вейта до эксплуатации. Ostium немедленно приостановил всю торговлю и рекомендовал пользователям отозвать разрешения для всех контрактов протокола до завершения расследования. Пост-мортем не опубликован, а срок возобновления торговли не объявлен. Вектор атаки не был кодом смарт-контракта — это был внешний ключ подписи, авторизующий доставку ценовых данных, та же инфраструктурная категория, которая дала сбой у Bonzo Lend на Hedera и у Lazy Summer Protocol https://t.co/SVnV4cvqcc ранее в этом месяце. https://t.co/SVnV4cvqcc Labs: 16 июля https://t.co/SVnV4cvqcc Labs опубликовало объявление о закрытии, подтвердив, что у компании нет жизнеспособного пути вперед после эксплуатации флеш-займа Lazy Summer Protocol 6 июля. Злоумышленник манипулировал чистой стоимостью активов двух вейтов Ethereum USDC в единой атомарной транзакции, внося переоцененные токены вейта Silo Varlamore в стратегические адаптеры, которые были ограничены для вывода, но по-прежнему учитывались в расчетах текущей цены акций. Депозит по реальной цене и выкуп против ликвидных активов по завышенной цене позволили извлечь около $6,04 млн: $5,64 млн из вейта с низким риском USDC и примерно $400 000 из вейта с высоким риском. Команда заявила, что значительная часть собственного капитала компании была размещена в затронутых вейтах, что лишило ее ресурсов для финансирования работ по восстановлению и продолжению операций. Интерфейс https://t.co/SVnV4cvqcc и каналы поддержки останутся активными до 31 августа 2026 года. Lazy Summer DAO, отдельный орган управления, сохраняет контроль над базовым протоколом и работает над восстановлением выводов и выкупов из вейтов независимо от закрытия компании Labs. https://t.co/SVnV4cvqcc функционировал примерно семь лет, выделившись из Maker Foundation в июне 2021 года, а протокол Lazy Summer накопил почти $200 млн TVL за первые девять месяцев до того, как эксплуатация прервала его коммерческую деятельность. В совокупности обе неудачи связаны с одной и той же пробелом на операционном уровне: привилегированной офлайн-инфраструктурой — ключом подписанта оракула и расчетом оценки вейта — которая находилась вне аудированного кода смарт-контрактов, но напрямую влияла на средства пользователей. Ни один из протоколов не был взломан через собственную логику контрактов. Оба завершились полной остановкой торговли или операций.
