За останні 48 годин відбулося два невдалих випадки в DeFi: компрометація підписувача оракула на біржі перпетуальних контрактів на реальні активи та експлуатація обліку скарбниці, що змусила семирічний протокол дохідності повністю припинити роботу. Ostium / Arbitrum: 15 липня 2026 року атакуючий, що мав скомпрометований приватний ключ підписувача оракула, використав зареєстрований у Ostium пересилач PriceUpKeep для подання майбутніх авторизованих звітів оракула проти скарбниці RWA-перпетуальних контрактів протоколу. Пересилач, який є легітимним компонентом автоматизації, прийняв звіти як дійсні, оскільки ключ підписувача не був відкликаний. Атакуючий відкрив і закрив приблизно 20 циклічних угод за один виклик executeBatch, кожен цикл яких посилював маржу з близько $1 000 до кінцевої позиції, що спричинила виплату близько $18 мільйонів USDC з ліквідної скарбниці OLP. Blockaid і CertiK зафіксували витік із оцінкою збитків у діапазоні від $18 до $22 мільйонів, що становить приблизно 28% TVL скарбниці до експлуатації. Ostium негайно призупинив усю торгівлю та рекомендував користувачам відкликати дозволи для всіх контрактів протоколу до завершення розслідування. Пост-мортем ще не опубліковано, а термін відновлення торгівлі не оголошено. Вектор атаки не був кодом смартконтракту — це був зовнішній підписуючий ключ, що авторизував доставку цінових даних, та та сама клас інфраструктури, що зазнала невдачі на Bonzo Lend на Hedera та на Lazy Summer Protocol https://t.co/SVnV4cvqcc на початку цього місяця. https://t.co/SVnV4cvqcc Labs: 16 липня https://t.co/SVnV4cvqcc Labs опублікувала оголошення про припинення роботи, підтвердивши, що компанія не має жодного реального шляху подальшого існування після експлуатації флаш-позики протоколу Lazy Summer 6 липня. Атакуючий маніпулював чистою вартістю активів двох скарбниць Ethereum USDC в одному атомарному транзакції, передавши переоцінені токени скарбниці Silo Varlamore до адаптерів стратегій, які були обмежені для виведення, але залишалися в активних розрахунках ціни акцій. Депозит за справжньою ціною та викуп проти ліквідних активів за завищеною ціною дозволив вилучити близько $6,04 мільйона: $5,64 мільйона з нижчоризикової скарбниці USDC та близько $400 000 з вищеризикової скарбниці. Команда заявила, що значна частина їхнього власного капіталу була розміщена у постраждалих скарбницях, що призвело до вичерпання ресурсів, необхідних для фінансування роботи з відновлення та продовження операцій. Інтерфейс https://t.co/SVnV4cvqcc та канали підтримки залишаться активними до 31 серпня 2026 року. Lazy Summer DAO, окремий орган управління, зберегла контроль над базовим протоколом і працює над відновленням виведення та викупу скарбниць незалежно від закриття компанії Labs. https://t.co/SVnV4cvqcc працювала приблизно сiм років, виокремившись з Maker Foundation у червнi 2021 року, а протокол Lazy Summer накопичив майже $200 мiльйонiв TVL за першi дев’ять мiсяцiв до того, як експлуатацiя припинила його комерцiйну дiяльнiсть. Разом обидва невдалих випадки пов’язанi з однiєю й тiєю ж прогалиною на операцiйному рiвнi: привiлегованою позачастинною інфраструктурою — ключем пiдписувача оракула та розрахунком оцiнки скарбницi — яка знаходилася поза аудитованим кодом смартконтракту, але безпосередньо у шляху коштiв користувачiв. Жоден із протоколiв не був порушений через логiку власного контракту. Обидва закiнчилися повним припиненням торгiвлi чи операцiй.
