Summer.fi perde $6M em ataque de flash loan em Vault DeFi

Summer.fi, uma plataforma de agregação de rendimentos DeFi, perdeu aproximadamente US$ 6 milhões em 06 de julho em um suspeito ataque de flash loan direcionado aos seus contratos inteligentes Lazy Summer, de acordo com a plataforma de segurança Web3 Blockaid. O exploit ocorreu depois que uma carteira financiada pela FixedFloat na rede Base iniciou uma transação suspeita na Ethereum, manipulando o mecanismo de contabilização de cotas do vault ao explorar vulnerabilidades de preço de ativos. Ataques de flash loan permitem que atacantes tomem grandes quantias de capital emprestado e paguem em uma única transação na blockchain, permitindo distorção temporária das condições de liquidez ou preços sem exigir exposição financeira de longo prazo além das taxas de transação.

Blockaid e PeckShield Identificam Manipulação de Contabilização de Vault

O sistema de detecção de exploits da Blockaid identificou o ataque em andamento, reportando que a análise preliminar indica que o atacante explorou uma vulnerabilidade no mecanismo de contabilização de cotas do vault ao manipular os preços dos ativos. Os fundos roubados foram posteriormente convertidos em DAI e transferidos para um endereço controlado pelo atacante.

A empresa de segurança blockchain PeckShield identificou o vault afetado principal como LazyVault_LowerRisk_USDC (LVUSDC), que é gerenciado pela Block Analitica. Durante o incidente, o rendimento percentual anual (APY) exibido do vault subiu brevemente para cerca de 2,08 milhões, refletindo o estado anormal do protocolo. PeckShield também observou que um dos maiores detentores do vault, uma carteira acreditada como associada a Torben Jorgensen (UDHC), havia depositado aproximadamente 8,6 milhões de USDC no vault afetado.

CertiK Rastreia Transação de Flash Loan de US$ 65,4 Milhões

A CertiK apontou para uma transação suspeita consistente com um ataque de flash loan. De acordo com a análise da empresa, o atacante obteve um flash loan no valor de aproximadamente US$ 65,4 milhões e usou os fundos emprestados para manipular a liquidez entre os pools DAI/USDC da Curve e os vaults Morpho V2. Acredita-se que o exploit tenha abusado do mecanismo de desalocação de vault, permitindo que o atacante manipulasse a contabilização de cotas antes de extrair US$ 6 milhões em lucro. O flash loan foi pago na mesma transação blockchain, significando que o atacante não precisou comprometer seu próprio capital além das taxas de transação.

A Summer.fi fornece serviços de agregação de rendimentos e gerenciamento automatizado de vaults, oferecendo infraestrutura focada em instituições para usuários DeFi. Ela permite que os usuários tomem stablecoins emprestados, gerenciem posições alavancadas e obtenham rendimentos por meio de integrações com vários protocolos DeFi. O projeto não havia comentado publicamente sobre o incidente até o momento da publicação.

FAQ

O que aconteceu com a Summer.fi em 06 de julho?

A Summer.fi perdeu aproximadamente US$ 6 milhões em um suspeito ataque de flash loan que explorou uma vulnerabilidade no mecanismo de contabilização de cotas dos vaults de seus contratos inteligentes Lazy Summer, de acordo com a Blockaid.

Como o atacante executou o exploit na Summer.fi?

De acordo com a análise da CertiK, o atacante obteve um flash loan no valor de aproximadamente US$ 65,4 milhões, usou os fundos emprestados para manipular a liquidez entre os pools DAI/USDC da Curve e os vaults Morpho V2, abusou do mecanismo de desalocação de vault para manipular a contabilização de cotas, extraiu US$ 6 milhões em lucro e pagou o flash loan na mesma transação blockchain.

Qual vault foi afetado principalmente no ataque à Summer.fi?

A PeckShield identificou o LazyVault_LowerRisk_USDC (LVUSDC), gerenciado pela Block Analitica, como o vault afetado principal, com seu rendimento percentual anual subindo brevemente para cerca de 2,08 milhões durante o incidente.