Summer Finance zet Vaults stil na een aanval met een flash-lening van 65,4 miljoen dollar die een verlies van 6 miljoen dollar veroorzaakte

Beveiligingsbedrijven signaleren inbreuk

Blockchain-beveiligingsbedrijven meldden op maandag 6 juli een groot beveiligingslek gericht op Summer Finance, een protocol voor rendementsoptimalisatie binnen de gedecentraliseerde financiële sector (DeFi). Volgens realtime on-chain-analyses die door beveiligingsmonitors werden gesignaleerd, leed het protocol een geschat verlies van 6 miljoen dollar als gevolg van een geavanceerde aanval met een flash-lening en prijsmanipulatie.

Naar aanleiding van de waarschuwingen bevestigde het Summer Finance-team de inbreuk en verklaarde:

"We zijn op de hoogte van de eerder vandaag gemelde exploit en onderzoeken de oorzaak. De protocolbewakers hebben momenteel alle Vaults binnen het Lazy Summer Protocol opgeschort. We zullen meer updates geven zodra we die hebben."

De aanval omvatte een meerstapsmanipulatie van de boekhoudlogica van het protocol. Uit een analyse door blockchainbeveiligingsbedrijf Certik bleek dat de aanvaller een flash-lening van 65,4 miljoen dollar had aangegaan om het waarderingskader van de activa in de vault van het Lazy Summer Protocol, die wordt beheerd door Summer.fi, te verstoren.

Door misbruik te maken van een kwetsbaarheid in de boekhoudlogica van het Fleet Commander-contract, heeft de aanvaller de manier waarop het systeem de tokenwaarde berekende kunstmatig vertekend. Na ongeveer 64,8 miljoen dollar in het gemanipuleerde ecosysteem te hebben gestort, voerde de dader een arbitragemanoeuvre uit om 70,9 miljoen dollar aan activa te verzilveren.

Volgens Cyvers wisselde de aanvaller de daaruit voortvloeiende winst van 6 miljoen dollar snel om in DAI-stablecoins, waarna hij de gestolen middelen naar een door de aanvaller gecontroleerde wallet leidde om het papieren spoor te verdoezelen.

Terwijl de ontwikkelaars van Summer Finance de onderliggende kwetsbaarheden onderzoeken om een uitgebreid post-mortemrapport uit te brengen, benadrukt het incident een stijgende trend van complexe arbitragemanipulatie op infrastructuurniveau. Ondertussen drongen beveiligingsexperts er bij deelnemers op aan om onmiddellijk defensieve voorzorgsmaatregelen te nemen, waaronder het intrekken van machtigingen of het annuleren van alle actieve goedkeuringen voor smart contracts die gekoppeld zijn aan de getroffen Lazy Summer Protocol-kluizen.

Deskundigen adviseerden deelnemers ook om alle communicatie uitsluitend via officiële projectkanalen te verifiëren om phishing-aanvallen te voorkomen, en te overwegen digitale activa uit online „hot wallets“ over te hevelen naar offline cold storage totdat de kernontwikkelingsteams de onderliggende protocollen hebben gepatcht.