Summer Finance začasno ustavi delovanje trezorjev po napadu s hitrimi posojili v višini 65,4 milijona dolarjev, ki je povzročil izgubo v višini 6 milijonov dolarjev

Varnostna podjetja opozarjajo na vdor

Podjetja za varnost blockchaina so v ponedeljek, 6. julija, poročala o večji varnostni kršitvi, usmerjeni proti Summer Finance, protokolu za optimizacijo donosa v decentraliziranem financiranju (DeFi). Glede na analitiko v realnem času na verigi, na katero so opozorili varnostni nadzorniki, je protokol utrpel izgubo v višini približno 6 milijonov dolarjev zaradi izpopolnjenega napada s hitrim posojilom in manipulacijo cen.

Po prejetju opozoril je ekipa Summer Finance potrdila kršitev in izjavila:

»Zavedamo se danes nekoliko prej prijavljenega izkoriščanja ranljivosti in preiskujemo vzrok. Varuhi protokola trenutno začasno ustavljajo vse trezorje v okviru protokola Lazy Summer. Ko bomo imeli na voljo nove informacije, bomo objavili nadaljnje posodobitve.«

Izkoriščanje je vključevalo večstopenjsko manipulacijo računovodske logike protokola. Analiza podjetja Certik, specializiranega za varnost verig blokov, je razkrila, da je napadalec sprožil »flash loan« v višini 65,4 milijona dolarjev, da bi izkrivil okvir vrednotenja sredstev trezorja protokola Lazy Summer, ki ga upravlja Summer.fi.

Z izkoriščanjem ranljivosti v logiki obračunavanja sredstev pogodbe »Fleet Commander« je napadalec umetno izkrivil način, kako je sistem izračunaval vrednost tokenov. Po vplačilu približno 64,8 milijona dolarjev v manipuliran ekosistem je napadalec izvedel arbitražni manever, s katerim je izplačal sredstva v vrednosti 70,9 milijona dolarjev.

Po podatkih podjetja Cyvers je napadalec nastali dobiček v višini 6 milijonov dolarjev hitro zamenjal v stabilne kriptovalute DAI, preden je ukradena sredstva preusmeril v denarnico, ki jo nadzira sam, da bi izbrisal sledi.

Medtem ko razvijalci Summer Finance preiskujejo osnovne ranljivosti, da bi objavili izčrpno poročilo o analizi dogodka, incident poudarja naraščajoči trend zapletenih arbitražnih manipulacij na ravni infrastrukture. Varnostni strokovnjaki so medtem udeležence pozvali, naj nemudoma sprejmejo zaščitne ukrepe, vključno z preklicem pooblastil ali preklicem vseh aktivnih odobritev pametnih pogodb, povezanih s prizadetimi trezorji protokola Lazy Summer.

Strokovnjaki so udeležencem tudi svetovali, naj vso komunikacijo preverjajo izključno prek uradnih kanalov projekta, da se izognejo napadom z lažnim predstavljanjem (phishing), ter naj razmislijo o premestitvi digitalnih sredstev iz spletnih »vročih« denarnic v offline hladno shranjevanje, dokler glavne razvojne ekipe ne popravijo osnovnih protokolov.