6 липня DeFi-протокол Summer.fi став жертвою хакерської атаки, в результаті якої зловмисник вивів близько $6 млн. Команда проекту підтвердила інцидент і заявила про початок розслідування, тимчасово призупинивши роботу всіх сховищ (Vaults) в екосистемі Lazy Summer Protocol.
Технічні деталі атаки
Згідно з даними аналітичних платформ, атакуючий використав складну стратегію, засновану на вразливості в механізмі обліку часток активів. Зокрема, зловмисник застосував флеш-кредит на суму $65,4 млн, щоб тимчасово накачати ліквідність протоколу. Це дозволило йому ініціювати виведення коштів на $70,9 млн, при цьому чистий прибуток хакера склав $6 млн.
Експерти CertiK встановили, що маніпуляція торкнулася системи обліку totalAssets() у смарт-контрактах FleetCommander, які керують розподілом депозитів між кредитними платформами. Додатковим фактором став контракт Ark, що пов'язує протокол із зовнішніми лендінговими сервісами. Хакер заздалегідь накопичив активи в певному сховищі (Silo: Varlamore USDC Growth) і потім пожертвував їх в Ark, спотворивши розрахунки.
Після успішного виведення коштів зловмисник обміняв викрадені активи на стейблкоїни DAI та перевів їх на власну адресу. Фінансування початкової транзакції, за даними Cyvers, було здійснено через сервіс FixedFloat у мережі Base.
Контекст та висновки
Інцидент із Summer.fi стався на тлі загального зниження збитків від криптозломів у червні — $75,9 млн при 40 зафіксованих атаках. Найбільшою з них стала атака на Humanity Protocol, яка позбавила проект $31 млн. Однак другий квартал встановив антирекорд за кількістю експлойтів — 83 випадки, що є максимальним показником за всю історію спостережень.
Даний випадок знову підкреслює вразливість DeFi-протоколів, побудованих на складних системах перерозподілу активів. Використання флеш-кредитів для маніпуляції показниками totalAssets() — це класичний вектор атаки, який вимагає від розробників більш ретельного аудиту математичних моделей обліку часток. Ринку необхідно впроваджувати більш надійні механізми верифікації стану пулів у реальному часі, інакше подібні інциденти стануть нормою.