Summer Finance wstrzymuje działalność platformy Vaults po ataku z wykorzystaniem pożyczki błyskawicznej o wartości 65,4 mln dolarów, który spowodował stratę w wysokości 6 mln dolarów

Firmy zajmujące się bezpieczeństwem sygnalizują naruszenie

W poniedziałek, 6 lipca, firmy zajmujące się bezpieczeństwem łańcuchów bloków poinformowały o poważnym naruszeniu bezpieczeństwa, którego celem był Summer Finance – protokół optymalizacji zysków w sektorze zdecentralizowanych finansów (DeFi). Według analiz łańcucha bloków w czasie rzeczywistym, zidentyfikowanych przez systemy monitorujące bezpieczeństwo, protokół poniósł szacowaną stratę w wysokości 6 mln dolarów w wyniku wyrafinowanego ataku z wykorzystaniem pożyczki błyskawicznej i manipulacji cenami.

W następstwie tych alertów zespół Summer Finance potwierdził naruszenie, oświadczając:

„Jesteśmy świadomi zgłoszonego nieco wcześniej dzisiaj ataku i badamy jego pierwotną przyczynę. Strażnicy protokołu wstrzymują obecnie działanie wszystkich skarbców w ramach protokołu Lazy Summer. Będziemy przekazywać dalsze informacje, gdy tylko będą one dostępne”.

Atak polegał na wieloetapowej manipulacji logiką rozliczeniową protokołu. Analiza przeprowadzona przez firmę Certik, zajmującą się bezpieczeństwem łańcucha bloków, ujawniła, że atakujący zaciągnął pożyczkę błyskawiczną w wysokości 65,4 mln dolarów w celu zafałszowania systemu wyceny aktywów w skarbcu protokołu Lazy Summer, zarządzanym przez Summer.fi.

Wykorzystując lukę w logice rozliczania aktywów kontraktu Fleet Commander, atakujący sztucznie zafałszował sposób, w jaki system obliczał wartość tokenów. Po zdeponowaniu około 64,8 mln dolarów w zmanipulowanym ekosystemie sprawca przeprowadził operację arbitrażową, aby wykupić aktywa o wartości 70,9 mln dolarów.

Według firmy Cyvers sprawca szybko zamienił uzyskany w ten sposób zysk w wysokości 6 mln dolarów na stablecoiny DAI, a następnie przekierował skradzione środki do portfela kontrolowanego przez atakującego, aby zatrzeć ślady transakcji.

Podczas gdy programiści Summer Finance badają przyczyny tego incydentu w celu opublikowania kompleksowego raportu podsumowującego, zdarzenie to podkreśla rosnącą tendencję do stosowania złożonych manipulacji arbitrażowych na poziomie infrastruktury. Tymczasem eksperci ds. bezpieczeństwa wezwali uczestników do podjęcia natychmiastowych środków ostrożności, w tym cofnięcia uprawnień lub anulowania wszelkich aktywnych zatwierdzeń smart kontraktów powiązanych z dotkniętymi incydentem skarbcami protokołu Lazy Summer.

Eksperci doradzili również uczestnikom, aby weryfikowali wszelką komunikację wyłącznie za pośrednictwem oficjalnych kanałów projektu w celu uniknięcia ataków phishingowych oraz rozważali przeniesienie aktywów cyfrowych z internetowych portfeli typu „hot” do offline’owych magazynów typu „cold”, dopóki główne zespoły programistów nie załatały podstawowych protokołów.