Summer.fi закроет интерфейс после хакерской кражи $6,04 млн

Команда Summer.fi объявила о прекращении операционной деятельности после взлома, в ходе которого злоумышленник вывел $6,04 млн из хранилищ Lazy Summer Protocol. Пользовательский интерфейс платформы останется доступен до 31 августа, а дальнейшая судьба протокола будет решаться управляющим DAO.

Атака произошла 6 июля в сети Ethereum. В рамках одной атомарной транзакции злоумышленник манипулировал чистой стоимостью активов двух USDC‑хранилищ и вывел примерно $5,64 млн из хранилища с более низким риском и около $400 000 из продукта с повышенным риском.

Для операции были привлечены флэш‑кредиты на сумму более $65 млн. Подготовка к атаке, по оценке команды, началась не позднее 6 апреля: связанные кошельки постепенно накапливали токены Silo, которые затем использовали для манипуляции оценками активов.

Атака опиралась на устаревшую оценку токенов Silo Varlamore USDC Growth, включённых в стратегию Ark. Хотя для Ark был установлен депозитный лимит на ноль, сама стратегия не была удалена из активного набора FleetCommander, поэтому её позиции продолжали учитываться при расчёте чистой стоимости долей. Ark находился в стадии вывода из эксплуатации, но незавершённый операционный процесс позволил стратегии сохранять влияние на оценку активов.

Разработчики не обнаружили отдельной уязвимости в коде смарт‑контрактов. По их описанию, злоумышленник использовал оперативную неточность в учёте активов, чтобы искусственно повысить оценку и получить реальные ликвидные средства из других стратегий, включая Morpho, Spark и Sky. После погашения флэш‑кредитов прибыль конвертировали в DAI; часть средств была направлена через миксер с использованием промежуточного кошелька.

Команда указала, что значительная часть собственных резервов проекта находилась в пострадавших хранилищах. Финансовые потери исчерпали резервы, необходимые для восстановления инфраструктуры и продолжения операционной деятельности. В ответ на инцидент все хранилища Lazy Summer Protocol были приостановлены, а лимиты депозитов в продуктах под управлением DAO установлены на ноль.

Разработчики проводят процедуры для возобновления вывода средств и погашения долей по всем хранилищам, включая два пострадавших. После восстановления соответствующих функций они появятся в интерфейсе Summer.fi. Служба поддержки и канал проекта в Discord будут работать до конца августа. В официальном заявлении команда написала: «Мы пришли к выводу, что у нас нет жизнеспособного пути вперед, кроме прекращения деятельности».

За семь лет работы команда прошла путь от интеграции в Maker Foundation до выделения в самостоятельный проект в июне 2021 года. За это время сервисами Oasis.app и Summer.fi воспользовались свыше 50 000 пользователей; в первые девять месяцев работы общий объём заблокованных средств Lazy Summer Protocol достигал около $200 млн, а к моменту атаки снизился примерно до $22 млн.

Закрытие Summer.fi последовало вскоре после приостановки работы другого DeFi‑сервиса, Zapper. По отраслевым оценкам, в первой половине года криптопроекты потеряли около $972 млн в результате 207 инцидентов.