Summer Finance suspend ses coffres-forts après une attaque par « flash loan » de 65,4 millions de dollars qui a entraîné une perte de 6 millions de dollars

Des sociétés de sécurité signalent une faille

Des sociétés de sécurité spécialisées dans la blockchain ont signalé lundi 6 juillet une faille de sécurité majeure visant Summer Finance, un protocole d’optimisation de rendement dans le domaine de la finance décentralisée (DeFi). Selon des analyses en temps réel sur la blockchain relevées par des observateurs de sécurité, le protocole a subi une perte estimée à 6 millions de dollars à la suite d’une attaque sophistiquée combinant prêt flash et manipulation des prix.

À la suite de ces alertes, l’équipe de Summer Finance a confirmé la faille, déclarant : « Nous avons pris connaissance de l’exploitation signalée un peu plus tôt dans la journée et enquêtons sur sa cause première. Les gardiens du protocole suspendent actuellement tous les coffres du protocole Lazy Summer. Nous vous tiendrons informés dès que nous aurons plus d’informations. »

L’exploitation a consisté en une manipulation en plusieurs étapes de la logique comptable du protocole. Une analyse réalisée par la société de sécurité blockchain Certik a révélé que l’attaquant avait lancé un « flash loan » de 65,4 millions de dollars afin de fausser le cadre d’évaluation des actifs du « vault » du protocole Lazy Summer, géré par Summer.fi.

En exploitant une vulnérabilité dans la logique de comptabilité des actifs du contrat Fleet Commander, l’attaquant a artificiellement faussé la manière dont le système calculait la valeur des tokens. Après avoir déposé environ 64,8 millions de dollars dans l’écosystème manipulé, l’acteur a exécuté une manœuvre d’arbitrage pour récupérer 70,9 millions de dollars d’actifs.

Selon Cyvers, l’attaquant a rapidement converti le bénéfice de 6 millions de dollars ainsi généré en stablecoins DAI avant de transférer les fonds volés vers un portefeuille sous son contrôle afin d’effacer toute trace écrite.

Alors que les développeurs de Summer Finance enquêtent sur les vulnérabilités sous-jacentes en vue de publier un rapport d’analyse complet, cet incident met en évidence une tendance croissante aux manipulations d’arbitrage complexes, au niveau de l’infrastructure. Dans le même temps, les experts en sécurité ont exhorté les participants à prendre immédiatement des mesures de protection, notamment en révoquant les autorisations ou en annulant toute approbation active de contrats intelligents liée aux coffres-forts du protocole Lazy Summer Protocol concernés.

Les experts ont également conseillé aux participants de vérifier toutes les communications exclusivement via les canaux officiels du projet afin d’éviter les attaques par hameçonnage, et d’envisager de transférer leurs actifs numériques depuis leurs portefeuilles « chauds » en ligne vers un stockage hors ligne (« cold storage ») jusqu’à ce que les équipes de développement principales corrigent les protocoles sous-jacents.