Summer Finance призупиняє роботу сховищ після атаки флеш-кредитом на $65,4 млн, що спричинила $6M Loss

У понеділок, 6 липня, протокол DeFi Summer Finance зазнав витонченої атаки з використанням флеш-кредиту та маніпуляції цінами, що призвело до орієнтовних збитків у розмірі $6 мільйонів.

Ключові висновки

• У понеділок, 6 липня 2026 року, зловмисник використав флеш-кредит у розмірі $65,4 мільйона, щоб викрасти $6 мільйонів із Summer Finance.
• Атака збільшила загальні збитки екосистеми DeFi до понад $840 мільйонів у 2026 році, тримаючи простір у стані підвищеної готовності.
• Охоронці протоколу призупинили всі сховища Lazy Summer Protocol, поки основна команда розробників завершує повне виправлення.

Служби безпеки повідомляють про порушення

Фірми з блокчейн-безпеки повідомили в понеділок, 6 липня, про серйозне порушення безпеки, спрямоване на Summer Finance, протокол оптимізації прибутковості децентралізованих фінансів (DeFi). Згідно з даними ончейн-аналітики в реальному часі, виявленими системами моніторингу безпеки, протокол зазнав орієнтовних збитків у розмірі $6 мільйонів через витончену атаку з використанням флеш-кредиту та маніпуляції цінами.

Після сповіщень команда Summer Finance підтвердила порушення, заявивши:

«Ми знаємо про зафіксований експлойт трохи раніше сьогодні та розслідуємо його першопричину. Охоронці протоколу наразі призупиняють усі сховища в межах Lazy Summer Protocol. Ми надамо більше оновлень, коли вони з'являться».

Експлойт включав багатоетапну маніпуляцію бухгалтерською логікою протоколу. Аналіз фірми з блокчейн-безпеки Certik показав, що зловмисник ініціював флеш-кредит у розмірі $65,4 мільйона, щоб спотворити систему оцінки активів сховища Lazy Summer Protocol, яке управляється через Summer.fi.

Використовуючи вразливість у логіці обліку активів контракту Fleet Commander, зловмисник штучно викривив спосіб обчислення вартості токенів системою. Після депозиту приблизно $64,8 мільйона у маніпульовану екосистему, актор виконав арбітражний маневр, щоб викупити активи на суму $70,9 мільйона.

Згідно з даними Cyvers, експлойтер швидко обміняв отриманий прибуток у розмірі $6 мільйонів на стейблкойни DAI, а потім переправив викрадені кошти на гаманець, контрольований зловмисником, щоб розірвати слід.

Поки розробники Summer Finance розслідують базові вразливості для публікації всебічного звіту про інцидент, цей випадок підкреслює зростаючу тенденцію складних маніпуляцій арбітражем на рівні інфраструктури. Тим часом експерти з безпеки закликали учасників негайно вжити захисних заходів, зокрема відкликати дозволи або скасувати будь-які активні схвалення смарт-контрактів, пов'язані з ураженими сховищами Lazy Summer Protocol.

Експерти також порадили учасникам перевіряти всю комунікацію виключно через офіційні канали проєкту, щоб уникнути фішингових атак, та розглянути можливість переміщення цифрових активів із онлайн-гаманців («гарячих») в офлайн-сховища («холодні») доти, доки основні команди розробників не виправлять базові протоколи.