Hai nền tảng DeFi đã thất bại trong 48 giờ qua: một cuộc xâm phạm khóa ký oracle trên sàn giao dịch hợp đồng hoán đổi tài sản thực tế, và một lỗ hổng kế toán hòm chứa buộc một giao thức sinh lời đã tồn tại bảy năm phải ngừng hoạt động hoàn toàn. Ostium / Arbitrum: Vào ngày 15 tháng 7 năm 2026, một kẻ tấn công sở hữu khóa ký oracle bị xâm phạm đã sử dụng bộ chuyển tiếp PriceUpKeep đã đăng ký của Ostium để gửi các báo cáo oracle được ủy quyền có ngày tương lai vào hòm chứa hợp đồng hoán đổi RWA của giao thức. Bộ chuyển tiếp, một thành phần tự động hóa hợp lệ, đã chấp nhận các báo cáo này là hợp lệ vì khóa ký chưa bị thu hồi. Kẻ tấn công đã mở và đóng khoảng 20 giao dịch vòng lặp trong một lệnh executeBatch duy nhất, mỗi vòng lặp làm tăng dần số tiền ký quỹ từ khoảng $1.000 lên đến một vị thế cuối cùng kích hoạt khoản thanh toán USDC khoảng $18 triệu từ hòm chứa thanh khoản OLP. Blockaid và CertiK đã cảnh báo về việc rút tiền, ước tính tổn thất từ $18 triệu đến $22 triệu, tương đương khoảng 28% TVL của hòm chứa trước khi bị khai thác. Ostium đã ngừng ngay lập tức tất cả các giao dịch và khuyến nghị người dùng thu hồi quyền truy cập cho tất cả các hợp đồng giao thức trong khi chờ điều tra. Chưa có báo cáo hậu sự nào được công bố và chưa có thời gian biểu nào được đưa ra để tái khởi động giao dịch. Vector tấn công không phải là mã hợp đồng thông minh, mà là khóa ký ngoài chuỗi ủy quyền việc cung cấp dữ liệu giá, cùng lớp hạ tầng từng thất bại tại Bonzo Lend trên Hedera và tại Giao thức Lazy Summer của https://t.co/SVnV4cvqcc đầu tháng này. https://t.co/SVnV4cvqcc Labs: Vào ngày 16 tháng 7, https://t.co/SVnV4cvqcc Labs đã công bố thông báo đóng cửa, xác nhận công ty không còn con đường khả thi nào để tiếp tục sau vụ khai thác flash-loan vào Giao thức Lazy Summer vào ngày 6 tháng 7. Kẻ tấn công đã thao túng giá trị tài sản ròng của hai hòm chứa USDC ethereum trong một giao dịch nguyên tử duy nhất bằng cách quyên góp các token hòm chứa Silo Varlamore bị định giá quá cao vào các bộ điều hợp chiến lược đã bị giới hạn để rút ra nhưng vẫn được tính vào giá cổ phiếu đang hoạt động. Một khoản nạp ở mức giá thực và một khoản rút lại dựa trên tài sản thanh khoản ở mức giá bị thổi phồng đã rút ra khoảng $6,04 triệu: $5,64 triệu từ hòm chứa USDC rủi ro thấp hơn và khoảng $400.000 từ hòm chứa rủi ro cao hơn. Đội ngũ cho biết một phần đáng kể vốn của chính họ được giữ trong các hòm chứa bị ảnh hưởng, làm cạn kiệt nguồn lực cần thiết để tài trợ cho các nỗ lực phục hồi và duy trì hoạt động. Giao diện https://t.co/SVnV4cvqcc và các kênh hỗ trợ sẽ vẫn hoạt động cho đến ngày 31 tháng 8 năm 2026. Lazy Summer DAO, một cơ quan quản trị riêng biệt, vẫn kiểm soát giao thức cơ sở và đang nỗ lực khôi phục việc rút hòm chứa và hoàn trả độc lập với việc đóng cửa công ty Labs. https://t.co/SVnV4cvqcc đã vận hành khoảng bảy năm, tách ra từ Maker Foundation vào tháng 6 năm 2021, và Giao thức Lazy Summer đã tích lũy gần $200 triệu TVL trong chín tháng đầu tiên trước khi vụ khai thác chấm dứt hoạt động thương mại của nó. Tổng hợp lại, cả hai sự cố đều xuất phát từ cùng một lỗ hổng ở lớp vận hành: hạ tầng ngoài chuỗi có đặc quyền — khóa ký oracle và phép tính định giá hòm chứa — nằm ngoài mã hợp đồng thông minh đã được kiểm toán nhưng trực tiếp nằm trên đường đi của quỹ người dùng. Không có giao thức nào bị xâm phạm thông qua logic hợp đồng của chính nó. Cả hai đều kết thúc bằng việc ngừng hoàn toàn giao dịch hoặc hoạt động.