Summer Finance lukker sine tegnebøger ned, efter at et flash-lån-angreb på 65,4 mio. $ har medført et tab på 6 mio. $

Sikkerhedsfirmaer rapporterer om sikkerhedsbrud

Blockchain-sikkerhedsfirmaer rapporterede mandag den 6. juli om et større sikkerhedsbrud rettet mod Summer Finance, et protokol til afkastoptimering inden for decentraliseret finans (DeFi). Ifølge realtidsanalyser på blockchainen, som sikkerhedsovervågerne har påpeget, led protokollen et anslået tab på 6 millioner dollar som følge af et sofistikeret angreb med et flash-lån og kursmanipulation.

Efter advarslerne bekræftede Summer Finance-teamet sikkerhedsbruddet og udtalte:

»Vi er opmærksomme på det udnyttelsesforsøg, der blev rapporteret tidligere i dag, og undersøger årsagen. Protokolforvalterne har i øjeblikket sat alle Vaults i Lazy Summer Protocol på pause. Vi vil komme med flere opdateringer, så snart vi har dem.«

Udnyttelsen involverede en manipulation i flere trin af protokollens regnskabslogik. En analyse foretaget af blockchain-sikkerhedsfirmaet Certik afslørede, at angriberen iværksatte et flash-lån på 65,4 millioner dollars for at forvride rammerne for aktivværdiansættelsen i Lazy Summer Protocol-vaulten, som administreres under Summer.fi.

Ved at udnytte en sårbarhed i Fleet Commander-kontraktens regnskabslogik for aktiver forvrængede angriberen kunstigt den måde, systemet beregnede tokenværdien på. Efter at have indsat ca. 64,8 millioner dollar i det manipulerede økosystem gennemførte angriberen en arbitragemanøvre for at indløse aktiver til en værdi af 70,9 millioner dollar.

Ifølge Cyvers omvekslede angriberen hurtigt den resulterende fortjeneste på 6 millioner dollar til DAI-stablecoins, inden de stjålne midler blev kanaliseret over i en angriberkontrolleret tegnebog for at slette sporene.

Mens udviklerne hos Summer Finance undersøger de underliggende sårbarheder med henblik på at udgive en omfattende efteranalyse, understreger hændelsen en stigende tendens til kompleks arbitragemanipulation på infrastrukturniveau. I mellemtiden opfordrede sikkerhedseksperter deltagerne til straks at træffe forebyggende foranstaltninger, herunder at tilbagekalde tilladelser eller annullere alle aktive godkendelser af smartkontrakter, der er knyttet til de berørte Lazy Summer Protocol-vaults.

Eksperterne rådede desuden deltagerne til udelukkende at verificere al kommunikation via officielle projektkanaler for at undgå phishing-angreb og til at overveje at flytte digitale aktiver fra online »hot«-tegnebøger til offline cold storage, indtil de centrale udviklerteams har rettet de underliggende protokoller.