Son 48 saat içinde iki DeFi işletim katmanı başarısız oldu: bir gerçek dünya varlık perpexler borsasında bir oracle imzalayıcı kompromu ve yedi yıllık bir getiri protokolünü tamamen durdurmaya zorlayan bir kasa muhasebe zafiyeti. Ostium / Arbitrum: 15 Temmuz 2026 tarihinde, bir saldırıcı, compromised bir oracle imzalayıcı özel anahtarını kullanarak Ostium’un kayıtlı PriceUpKeep ileriye dönük hizmetini, protokolün RWA perpex kasa karşıtı gelecekteki tarihli yetkili oracle raporlarını göndermek için kullandı. Bu ileriye dönük hizmet, meşru bir otomasyon bileşeni olarak, imzalayıcı anahtarının iptal edilmemiş olması nedeniyle raporları geçerli kabul etti. Saldırgan, tek bir executeBatch çağrısı içinde yaklaşık 20 döngüsel işlem açtı ve kapadı; her döngü marjinini yaklaşık 1.000 dolar civarından, OLP likidite kasa tarafından yaklaşık 18 milyon USDC ödenmesine neden olan bir pozisyona kadar yükseltti. Blockaid ve CertiK, kayıpları 18 milyon ile 22 milyon dolar arasında tahmin ederek bu sızıntıyı işaret etti; bu miktar, kasanın saldırıdan önceki TVL’sinin yaklaşık %28’ini temsil ediyor. Ostium, tüm alım satımı hemen durdurdu ve kullanıcıları araştırmalar tamamlanana kadar tüm protokol sözleşmeleri için onaylarını iptal etmeyi önerdi. Herhangi bir post-mortem yayımlanmadı ve alım satımın yeniden başlatılması için herhangi bir zaman çizelgesi verilmedi. Saldırı vektörü akıllı sözleşme kodu değildi. Fiyat verisi teslimini yetkilendiren dış imzalayıcı anahtarıydı; bu aynı altyapı sınıfı, bu ay Hedera'daki Bonzo Lend ve https://t.co/SVnV4cvqcc'nin Lazy Summer Protokolünde daha önce başarısız oldu. https://t.co/SVnV4cvqcc Labs: 16 Temmuz 2026 tarihinde, https://t.co/SVnV4cvqcc Labs, Lazy Summer Protokolü'nün 6 Temmuz'daki flash-kredi saldırısından sonra şirketin ilerlemek için herhangi bir geçerli yolunun kalmadığını doğrulayan bir kapanış duyurusu yayınladı. Saldırgan, kapatılmak üzere sınırlanmış ancak hala aktif hisse fiyatı hesaplamalarında kalan strateji adaptörlerine abartılı Silo Varlamore kasa tokenleri bağlayarak, iki ethereum USDC kasanın net varlık değerini tek atomik işlem içinde manipüle etti. Gerçek fiyatla bir yatırma ve abartılı fiyata karşılık likit varlıklardan bir geri ödeme, yaklaşık 6,04 milyon dolar çekildi: 5,64 milyon dolar düşük riskli USDC kasa ve yaklaşık 400.000 dolar yüksek riskli kasa üzerinden. Takım, kendi sermayesinin önemli bir kısmının etkilenen kasalarda bulunduğunu belirterek, kurtarma çalışmalarını ve devam eden operasyonları finanse etmek için gerekli yolu ortadan kaldırdı. https://t.co/SVnV4cvqcc arayüzü ve destek kanalları 31 Ağustos 2026 tarihine kadar aktif kalacaktır. Lazy Summer DAO, ayrı bir yönetim organı olarak, protokolün temelini kontrol altında tutmakta ve Labs şirketinin kapanmasından bağımsız olarak kasa çekimlerini ve geri ödemelerini yeniden başlatmak için çalışıyor. https://t.co/SVnV4cvqcc, Haziran 2021'de Maker Vakfı'ndan ayrılarak yaklaşık yedi yıl faaliyet gösterdi ve saldırıya uğramadan önce Lazy Summer Protokolü ilk dokuz ayında yaklaşık 200 milyon dolar TVL topladı. Birlikte değerlendirildiğinde, her iki başarısızlık da aynı işletim katmanı boşluğuna işaret ediyor: denetlenen akıllı sözleşme kodunun dışında ancak kullanıcı fonlarının doğrudan yolunda yer alan yetkili dış altyapılar — bir oracle imzalayıcı anahtarı ve bir kasa değerleme hesaplaması. Her iki protokol de kendi sözleşme mantığı aracılığıyla ihlal edilmedi. Her ikisi de tam alım satım veya operasyonel duruşla sonuçlandı.