Summer Finance משהה את ה־Vaults לאחר שמתקפת הלוואת פלאש בהיקף 65.4 מיליון דולר הובילה להפסד של 6 מיליון דולר

חברות אבטחה מסמנות פריצה

חברות אבטחת בלוקצ’יין דיווחו ביום שני, 6 ביולי, על פרצת אבטחה משמעותית שכוונה נגד Summer Finance, פרוטוקול אופטימיזציית תשואה מבוזר (DeFi). לפי אנליטיקות און-צ’יין בזמן אמת שסומנו על ידי מנטרי אבטחה, הפרוטוקול ספג הפסד מוערך של 6 מיליון דולר כתוצאה ממתקפת הלוואת בזק ומניפולציית מחיר מתוחכמת.

בעקבות ההתראות, צוות Summer Finance אישר את הפריצה, באומרו:

“אנחנו מודעים לניצול שדווח מעט מוקדם יותר היום וחוקרים את שורש הבעיה. שומרי הפרוטוקול כרגע משהים את כל הכספות ברחבי Lazy Summer Protocol. נספק עדכונים נוספים ככל שיהיו לנו.”

הניצול כלל מניפולציה רב-שלבית של לוגיקת החשבונאות של הפרוטוקול. ניתוח של חברת אבטחת הבלוקצ’יין Certik חשף כי התוקף יזם הלוואת בזק של 65.4 מיליון דולר כדי לעוות את מסגרת הערכת הנכסים של כספת Lazy Summer Protocol, המנוהלת תחת Summer.fi.

באמצעות ניצול פגיעות בלוגיקת חשבונאות הנכסים של חוזה Fleet Commander, התוקף הטה באופן מלאכותי את האופן שבו המערכת חישבה את ערך הטוקן. לאחר שהפקיד כ-64.8 מיליון דולר לתוך האקוסיסטם שעבר מניפולציה, השחקן ביצע מהלך ארביטראז’ כדי לפדות 70.9 מיליון דולר בנכסים.

לפי Cyvers, המנצל המיר במהירות את הרווח שנוצר בסך 6 מיליון דולר למטבעות יציבים מסוג DAI, לפני שהעביר את הכספים הגנובים לארנק הנשלט בידי התוקף כדי לנתק את עקבות הנייר.

בעוד שמפתחי Summer Finance חוקרים את הפגיעויות הבסיסיות כדי לפרסם דוח פוסט-מורטם מקיף, האירוע מדגיש מגמה עולה של מניפולציות ארביטראז’ מורכבות ברמת התשתית. בינתיים, מומחי אבטחה דחקו במשתתפים לנקוט אמצעי הגנה מיידיים, כולל ביטול הרשאות או ביטול כל אישורי חוזה חכם פעילים הקשורים לכספות Lazy Summer Protocol שנפגעו.

מומחים גם המליצו למשתתפים לאמת את כל התקשורת אך ורק דרך ערוצי הפרויקט הרשמיים כדי להימנע ממתקפות פישינג, ולשקול להעביר נכסים דיגיטליים מארנקים “חמים” מקוונים לאחסון קר (cold storage) לא מקוון עד שצוותי הפיתוח המרכזיים יטלאו את הפרוטוקולים הבסיסיים.