Літо для DeFi-сектору виявилося коротким: протокол Summer.fi офіційно оголосив про припинення операційної діяльності. Причина — злом на $6,04 млн, який позбавив команду фінансової подушки та можливості для відновлення. Користувацький інтерфейс буде доступний до 31 серпня, а подальша доля самого протоколу тепер у руках DAO, яка ним керує.
Сім років історії та $200 млн під управлінням
Проєкт пропрацював близько семи років, з яких два роки у складі Maker Foundation. У червні 2021 року Summer.fi виділився в самостійну одиницю, запустивши спочатку Oasis.app, а потім і власний бренд. За цей час сервісами скористалися понад 50 000 осіб. Пік загальної заблокованої вартості (TVL) Lazy Summer Protocol сягав $200 млн, однак на момент атаки цей показник скоротився до $22 млн.
Анатомія атаки: застаріла оцінка та незавершений процес
Інцидент стався 6 липня. Зловмисник маніпулював чистою вартістю активів двох USDC-сховищ у мережі Ethereum. Ключова вразливість полягала не в коді смарт-контрактів, а в незавершеному операційному процесі: стратегія Ark, яку вже виводили з експлуатації, продовжувала впливати на розрахунок вартості часток. Депозитний ліміт було встановлено на нуль, але Ark не видалили з активного набору FleetCommander.
Атакуючий використав токени сховища Silo Varlamore USDC Growth із застарілою оцінкою. Внісши їх у «сплячу» стратегію, він штучно завищив вартість активів і вивів реальні ліквідні кошти з інших стратегій — Morpho, Spark та Sky. Для проведення операції знадобилися флеш-кредити на суму понад $65 млн. Підготовка до атаки розпочалася не пізніше 6 квітня: пов'язані гаманці поступово накопичували токени Silo. Після погашення кредитів прибуток було конвертовано в DAI та частково відмито через Tornado Cash.
Фінансовий удар і неминуче закриття
Розробники визнали, що значна частина власних коштів команди перебувала в постраждалих сховищах. Втрата резервів унеможливила відновлення інфраструктури та продовження роботи. Після атаки всі сховища Lazy Summer Protocol призупинено, ліміти депозитів обнулено. DAO зараз проводить процедури для відновлення виведення коштів та погашення часток. Підтримка та Discord-канал проєкту продовжать роботу до кінця серпня.
Засновник Aave Стані Кулечов назвав Summer.fi одним із першопрохідців DeFi, відзначивши високі ставки та витрати при створенні безпечної точки доступу до сектору. Примітно, що закриття Summer.fi відбулося невдовзі після аналогічного рішення DeFi-сервісу Zapper, який послався на складні ринкові умови та нестійку бізнес-модель.
Аналітичний коментар: Цей інцидент — яскравий приклад того, як навіть за відсутності помилок у коді, операційні прорахунки та недостатня автоматизація процесів можуть призвести до катастрофічних наслідків. В умовах, коли TVL протоколів падає, а хакери стають дедалі винахідливішими, кожен незавершений процес — це бомба сповільненої дії. Для інвесторів це сигнал: безпека DeFi — це не лише аудит коду, а й бездоганна операційна дисципліна.