Huminto ang Summer Finance sa mga Vault matapos ang $65.4M na flash loan attack na nagdulot ng $6M na pagkalugi

Itinaas ng Mga Security Firm ang Alerto sa Paglabag

Iniulat ng mga blockchain security firm noong Lunes, Hulyo 6, ang isang malaking paglabag sa seguridad na tumarget sa Summer Finance, isang decentralized finance (DeFi) yield optimization protocol. Ayon sa real-time onchain analytics na na-flag ng mga security monitor, nakaranas ang protocol ng tinatayang pagkalugi na $6 milyon mula sa isang sopistikadong flash loan at price manipulation attack.

Kasunod ng mga alerto, kinumpirma ng Summer Finance team ang paglabag, sinabi:

“Alam namin ang naiulat na exploit nang mas maaga ngayong araw at iniimbestigahan namin ang ugat na sanhi. Kasalukuyang ipinapahinto ng mga tagapagbantay ng protocol ang lahat ng Vaults sa buong Lazy Summer Protocol. Magbibigay kami ng mas marami pang update habang mayroon kami.”

Kabilang sa exploit ang multi-step na manipulasyon ng accounting logic ng protocol. Isang pagsusuri ng blockchain security firm na Certik ang nagbunyag na ang umaatake ay nagsimula ng $65.4 milyon na flash loan upang baluktutin ang asset valuation framework ng Lazy Summer Protocol vault, na pinamamahalaan sa ilalim ng Summer.fi.

Sa pagsamantala sa isang kahinaan sa asset accounting logic ng Fleet Commander contract, artipisyal na ini-iskew ng umaatake kung paano kinukuwenta ng sistema ang halaga ng token. Pagkatapos magdeposito ng humigit-kumulang $64.8 milyon sa minanipulang ecosystem, nagsagawa ang aktor ng isang arbitrage maneuver upang ma-redeem ang $70.9 milyon na mga asset.

Ayon sa Cyvers, mabilis na ipinagpalit ng exploiter ang nagresultang $6 milyon na kita sa DAI stablecoins bago i-funnel ang ninakaw na pondo sa isang wallet na kontrolado ng umaatake upang putulin ang paper trail.

Habang iniimbestigahan ng mga developer ng Summer Finance ang mga pinagmumulan ng kahinaan upang maglabas ng isang komprehensibong post-mortem report, itinatampok ng insidente ang isang tumataas na trend ng mga kumplikadong, infrastructure-level na arbitrage manipulation. Samantala, hinimok ng mga security expert ang mga kalahok na magsagawa ng agarang depensibong pag-iingat, kabilang ang pagre-revoke ng mga pahintulot o pagkansela ng anumang aktibong smart contract approvals na naka-ugnay sa mga apektadong Lazy Summer Protocol vaults.

Pinayuhan din ng mga eksperto ang mga kalahok na beripikahin ang lahat ng komunikasyon nang eksklusibo sa pamamagitan ng mga opisyal na channel ng proyekto upang maiwasan ang mga phishing attack, at isaalang-alang ang paglipat ng mga digital asset palabas ng mga online na “hot” wallet papunta sa offline cold storage hanggang maipatch ng mga core development team ang mga pinagbabatayang protocol.