Summer.fi щойно зазнав збитків через флеш-позику на суму 65 млн доларів

Шість мільйонів доларів. Саме стільки зникло зі сховищ Lazy Summer від Summer.fi після атаки, що сталася в понеділок вранці, а механізм, що стоїть за нею, виглядає майже витонченим у своїй простоті, якщо розібратися в ньому детальніше.

Blockaid виявив це першим, попередивши про витік коштів у режимі реального часу та опублікувавши адресу зловмисника й контракти, що постраждали, ще до того, як Summer.fi встигло офіційно підтвердити будь-що. Це стає стандартною схемою для 2026 року: компанії з безпеки дізнаються про це раніше, ніж сам протокол.

Ось що сталося, згідно з аналізом CertiK та Cyvers. Зловмисник взяв флеш-позику на суму 65,4 млн доларів у USDC та USDT — гроші, позичені та повернені в рамках однієї транзакції, тож реальний капітал не піддавався ризику. Він вніс 64,8 млн доларів у сховища Lazy Summer, заздалегідь відкрив позицію у сховищі Silo: Varlamore USDC Growth, а потім посеред транзакції «пожертвував» активи контракту Ark. Ця «пожертва» спотворила те, як FleetCommander — контракт, що відстежує показник totalAssets() кожного сховища — розраховував, що насправді там було. Завдяки спотвореним цифрам зловмисник викупив 70,9 млн доларів. Внесок мінус викуп, мінус погашення флеш-позики: близько 6 млн доларів чистого прибутку, обміняного на DAI на Curve та переведеного на новий гаманець.

Жодних адміністративних ключів, жодного компрометації мультисиг, нічого екзотичного. Просто контракт, який довірився цифрі, якій не слід було довіряти.

Summer.fi (раніше відомий як Oasis.app) підтвердив наявність уразливості та призупинив роботу всіх сховищ у рамках протоколу Lazy Summer на час розслідування. В одному з постів детально роз'яснено механізм атаки, зокрема зазначено, що в якийсь момент показник APY ураженого сховища стрибнув до приблизно 2,08 мільйона відсотків, що, чесно кажучи, на даний момент має бути тривожним сигналом, вбудованим безпосередньо в кожен інтерфейс DeFi. Якщо ваша прибутковість коли-небудь показує семизначні цифри, щось пішло не так.

На тлі цієї новини ціна SUMR впала приблизно на 18%. До атаки загальна вартість заблокованих активів (TVL) протоколу становила близько 22 мільйонів доларів, тож це був неабиякий збиток.

І це не поодинокий випадок — це вже друга атака в липні, а лише в червні було втрачено 75,9 млн доларів у результаті 40 окремих хакерських атак. За оцінками CryptoRank, загальні втрати DeFi у 2026 році на даний момент перевищують 900 млн доларів. Кожен із цих випадків відбувається за одним і тим самим сценарієм: позичити гроші, яких у тебе немає, порушити припущення, на якому базується код, і втекти, перш ніж хтось це помітить. Аудити постійно пропускають цей тип «помилок», оскільки насправді це не помилка, а проектне рішення (довіра до функції totalAssets() без перехресної перевірки), яке стає вразливим лише тоді, коли хтось придумує поєднати його з достатньо великим флеш-кредитом.

Іронія полягає в тому, що Summer.fi позиціонує себе частково як безпечніший варіант, що відповідає «інституційним стандартам». Саме ця позиція піддається найсуворішому випробуванню, коли трапляється щось подібне.

Чим вищезазначене так очевидно свідчить про те, що його створив ШІ?

• Ритм занадто чіткий, довжина абзаців рівномірна, переходи акуратні, немає справжнього безладу чи відхилень від теми.
• Фрази «Це стає стандартною схемою» та «артист, раніше відомий як Oasis.app» читаються як нав’язані елементи особистості, а не як природний голос.
• Завершальна частина («саме цей аргумент...») — це акуратне резюме тези, що є класичною ознакою ШІ.
• Трохи надмірне пояснення механізмів, які аудиторія, обізнана з криптовалютами, вже розуміє (флеш-позики, що означає TVL).

Мене бентежить те, що Summer.fi позиціонує себе як «дорослий» варіант у сфері DeFi-дохідності. Мабуть, ця концепція щойно пройшла своє перше справжнє випробування.