Summer.fi，一个 DeFi 收益聚合平台，据 Web3 安全平台 Blockaid 称，于 7 月 6 日在一场疑似针对其 Lazy Summer 智能合约的闪电贷攻击中损失约 600 万美元。该攻击发生在一个通过 Base 网络上的 FixedFloat 提供资金的地址在以太坊上发起一笔可疑交易之后，通过利用资产价格漏洞操纵了金库的份额会计机制。闪电贷攻击使攻击者能够借入大量资金并在单笔区块链交易中偿还，从而无需承担交易费用以外的长期财务风险即可暂时扭曲流动性或定价条件。
Blockaid 和 PeckShield 识别金库会计操纵
Blockaid 的攻击检测系统识别了正在进行的攻击，报告称初步分析表明攻击者通过操纵资产价格利用了金库份额会计机制中的一个漏洞。被盗资金随后被转换为 DAI 并转移至攻击者控制的地址。
区块链安全公司 PeckShield 将受影响的的主要金库确定为 LazyVault_LowerRisk_USDC (LVUSDC)，该金库由 Block Analitica 管理。事件期间，金库显示的年化收益率 (APY) 短暂飙升至约 208 万，反映了协议的异常状态。PeckShield 还指出，该金库的最大持有者之一（一个被认为与 Torben Jorgensen (UDHC) 相关的钱包）已向受影响的金库存入约 860 万 USDC。
CertiK 追踪 6540 万美元闪电贷交易
CertiK 指出一笔可疑交易符合闪电贷攻击特征。根据该公司的分析，攻击者获得了一笔价值约 6540 万美元的闪电贷，并利用借来的资金操纵了 Curve 的 DAI/USDC 池和 Morpho V2 金库的流动性。该攻击被认为滥用了金库的撤销分配机制，使攻击者能够在提取 600 万美元利润之前操纵份额会计。该闪电贷在同一笔区块链交易中偿还，意味着攻击者除了交易费用外无需投入自有资金。
Summer.fi 提供收益聚合和自动化金库管理服务，为 DeFi 用户提供机构级基础设施。它使用户能够通过多个 DeFi 协议的集成来借入稳定币、管理杠杆头寸和赚取收益。截至发稿时，该项目尚未公开评论该事件。
常见问题
7 月 6 日 Summer.fi 发生了什么？
据 Blockaid 称，Summer.fi 在一场利用其 Lazy Summer 智能合约金库份额会计机制漏洞的疑似闪电贷攻击中损失约 600 万美元。
攻击者如何执行 Summer.fi 攻击？
根据 CertiK 的分析，攻击者获得了一笔价值约 6540 万美元的闪电贷，利用借来的资金操纵 Curve 的 DAI/USDC 池和 Morpho V2 金库的流动性，滥用金库撤销分配机制来操纵份额会计，提取 600 万美元利润，并在同一笔区块链交易中偿还了闪电贷。
Summer.fi 攻击中主要受影响的哪个金库？
PeckShield 确定 LazyVault_LowerRisk_USDC (LVUSDC)（由 Block Analitica 管理）为主要受影响的金库，事件期间其年化收益率短暂飙升至约 208 万。
