Summer.fi: DeFi-протокол зазнав атаки, втрачено мільйони

6 липня команда децентралізованого фінансового протоколу Summer.fi повідомила про кібератаку, яка торкнулася їхньої платформи.

Деталі інциденту

«Нам відомо про інцидент, що стався сьогодні, і ми розслідуємо його першопричину. Вартові протоколу наразі призупиняють усі сховища (Vaults) в межах Lazy Summer Protocol. Ми надамо додаткові оновлення, щойно вони з’являться», — йдеться у повідомленні команди Summer.fi.

Точна сума збитків та технічні деталі атаки наразі не розголошуються розробниками.

Аналіз експертів

За даними компанії Cyvers, зловмисник використав вразливість у механізмі обліку часток активів, що дозволило йому маніпулювати цінами. Після цього він обміняв викрадені активи на суму приблизно 6 мільйонів доларів (близько 240 мільйонів гривень за поточним курсом) на стейблкоїни DAI та переказав їх на свій особистий гаманець.

🚨ALERT🚨Our system has detected a suspicious transaction involving @summerfinance_ with an estimated loss of $6M.

An address funded via #FixedFloat on #Base executed a suspicious transaction on the #ETH network.

Root cause: The attacker appears to have exploited a share… pic.twitter.com/oS1OE5vGYh

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) July 6, 2026

Згідно з аналізом компанії CertiK, зловмисник здійснив операцію із залучення флеш-кредиту на суму 65,4 мільйона доларів (близько 2,6 мільярда гривень). Це дозволило йому тимчасово збільшити обсяг коштів у протоколі та вивести близько 70,9 мільйона доларів (приблизно 2,8 мільярда гривень). Чистий прибуток хакера склав близько 6 мільйонів доларів (близько 240 мільйонів гривень).

1/ Attacker was able to redeem $70.9M following $64.8M deposit thanks to manipulation of FleetCommander's accounting of totalAssets() on a host of vaults, particularly Silo: Varlamore USDC Growth, which the attacker had accumulated beforehand and donated to the Ark in between. pic.twitter.com/x2eeKlWy3n

— CertiK Alert (@CertiKAlert) July 6, 2026

Технічна вразливість

Зазначається, що маніпуляції торкнулися системи обліку активів у Lazy Summer Protocol, яка автоматично перерозподіляє депозити користувачів між кредитними платформами. Експерти наголосили, що основна вразливість криється у спотворенні показника `totalAssets()` у смарт-контрактах FleetCommander, відповідальних за управління сховищами. Додатковий вплив на цю схему мав контракт Ark, який пов’язує протокол із зовнішніми сервісами кредитування.

Контекст ринку

Нагадаємо, у червні загальний збиток від криптозламів знизився до 75,9 мільйона доларів, при цьому було зафіксовано 40 інцидентів. Найбільш суттєвою атакою стала хакерська операція проти Humanity Protocol, внаслідок якої проект втратив 31 мільйон доларів. У другому кварталі 2026 року кількість експлойтів досягла рекордних 83 випадків.

Порада від Business News:

Ця новина є важливим нагадуванням про постійні ризики у сфері DeFi. Успішна атака на Summer.fi підкреслює необхідність ретельної перевірки безпеки смарт-контрактів та постійного моніторингу протоколів, якими ви користуєтеся. Для користувачів це означає, що навіть відомі та, здавалося б, надійні платформи можуть стати мішенню зловмисників. Важливо диверсифікувати свої активи та не зберігати всі кошти на одній платформі, а також стежити за оновленнями та попередженнями від команд проєктів.

За матеріалами: cryptocurrency.tech