فایننس سامر پس از حمله وام آنی ۶۵.۴ میلیون دلاری که زیان ۶ میلیون دلاری را رقم زد، والت‌ها را متوقف کرد

شرکت‌های امنیتی رخنه را گزارش کردند

شرکت‌های امنیت بلاکچین روز دوشنبه، ۶ ژوئیه، از یک رخنه امنیتی بزرگ خبر دادند که Summer Finance، یک پروتکل بهینه‌سازی بازده در مالی غیرمتمرکز (DeFi)، را هدف گرفته بود. طبق تحلیل‌های آنچین لحظه‌ای که توسط ناظران امنیتی علامت‌گذاری شد، این پروتکل در پی یک حمله پیچیده با وام آنی و دست‌کاری قیمت، زیانی برآوردی معادل ۶ میلیون دلار را متحمل شد.

پس از این هشدارها، تیم Summer Finance رخنه را تأیید کرد و اعلام کرد:

«ما از گزارش بهره‌برداری که کمی زودتر امروز مطرح شد مطلع هستیم و در حال بررسی علت ریشه‌ای آن هستیم. نگهبانان پروتکل در حال حاضر همه Vaultها در سراسر Lazy Summer Protocol را متوقف می‌کنند. به محض دریافت اطلاعات بیشتر، به‌روزرسانی‌های بیشتری ارائه خواهیم کرد.»

این سوءاستفاده شامل یک دست‌کاری چندمرحله‌ای در منطق حسابداری پروتکل بود. تحلیلی از سوی شرکت امنیت بلاکچین Certik نشان داد که مهاجم یک وام آنی ۶۵.۴ میلیون دلاری را برای مخدوش کردن چارچوب ارزش‌گذاری دارایی در خزانه Lazy Summer Protocol که تحت Summer.fi مدیریت می‌شود، آغاز کرده است.

با سوءاستفاده از یک آسیب‌پذیری در منطق حسابداری دارایی در قرارداد Fleet Commander، مهاجم به‌صورت مصنوعی نحوه محاسبه ارزش توکن توسط سیستم را منحرف کرد. پس از واریز حدود ۶۴.۸ میلیون دلار به اکوسیستم دست‌کاری‌شده، این عامل یک مانور آربیتراژ اجرا کرد تا ۷۰.۹ میلیون دلار دارایی را بازخرید کند.

طبق گزارش Cyvers، بهره‌بردار سود ۶ میلیون دلاری حاصل را به‌سرعت به استیبل‌کوین‌های DAI تبدیل کرد و سپس وجوه سرقت‌شده را برای قطع رد کاغذی به کیف‌پولی تحت کنترل مهاجم منتقل کرد.

در حالی که توسعه‌دهندگان Summer Finance در حال بررسی آسیب‌پذیری‌های زیربنایی برای انتشار یک گزارش جامع پس از حادثه هستند، این رویداد یک روند رو به رشد از دست‌کاری‌های پیچیده آربیتراژ در سطح زیرساخت را برجسته می‌کند. در همین حال، کارشناسان امنیتی از مشارکت‌کنندگان خواستند اقدامات دفاعی فوری انجام دهند؛ از جمله لغو مجوزها یا باطل کردن هرگونه تأییدیه فعال قرارداد هوشمند که به خزانه‌های Lazy Summer Protocolِ تحت تأثیر مرتبط است.

کارشناسان همچنین توصیه کردند مشارکت‌کنندگان برای جلوگیری از حملات فیشینگ، تمام ارتباطات را صرفاً از طریق کانال‌های رسمی پروژه تأیید کنند و تا زمانی که تیم‌های اصلی توسعه پروتکل‌های زیربنایی را وصله می‌کنند، انتقال دارایی‌های دیجیتال از کیف‌پول‌های آنلاین «هات» به ذخیره‌سازی سرد آفلاین را مدنظر قرار دهند.