سرق مستغلون 6 ملايين دولار من خزينة عملة USDC الخاصة بموقع Summer.fi Lazy Summer

قام المهاجمون بسحب حوالي 6 ملايين دولار من Summer.fiفي 6 يوليو، مستغلين خزينة USDC التي قفز عائدها المعلن لفترة وجيزة إلى ما يزيد عن 2 مليون بالمائة، وفقًا لشركات أمن البلوك تشين Blockaid و PeckShieldAlert.

كتبت شركة Blockaid على موقع X أن نظام الكشف عن الثغرات الأمنية الخاص بها قدdentالثغرة الأمنية أثناء تنفيذها.

وذكرت شركة الأمن حينها أنه تم "استنزاف" حوالي 6 ملايين دولار حتى الآن بينما كانت المعاملات لا تزال جارية.

نشر موقع Blockaid في منشور لاحق تفاصيل عملية الاستغلال، ومحفظة المهاجم،tracالاستغلال، وقائمةtracLazy Summer المتأثرة.

كان الهدف عبارة عن قبو واحدdentPeckShieldAlert على أنه LazyVault_LowerRisk_USDC، رمز التداول LVUSDC، وهي استراتيجية تتم إدارتها من قبل شركة BlockAnalitica.

وفقًا لـ PeckShieldAlert، "ارتفع معدل العائد السنوي المعروض لـ LVUSDC لفترة وجيزة إلى حوالي 2.08 مليون%"، وأضاف أن أكبر مالك للخزنة بعد الاختراق "يبدو أنه مرتبط بتوربن يورجنسن".

كيف تم Summer.fi ؟

وفقًا لموقع BlockTempo، الذي استشهد بتوقيت Blockaid في الساعة 05:17، قام المهاجم بتنفيذ هجوم تضخم قائم على التبرعات ضد خزنة ERC-4626.

يُعد معيار ERC-4626 الواجهة الافتراضية للخزائن التي تصدر أسهمًا مقابل الرموز المميزة المودعة، ويقوم بحساب سعر السهم بناءً على نسبة الأصول المحتفظ بها إلى الأسهم القائمة.

إذا قام مهاجم بالتبرع بكمية صغيرة من الرموز مباشرة إلى الخزنة، فبإمكانه نظرياً تشويه تلك النسبة ورفع سعر السهم الواحد إلى ما هو أعلى بكثير من قيمته العادلة، ثم استرداده مقابل أكثر مما وضعه.

أفاد موقع BlockTempo أن العملية تم تمويلها من خلال قرض سريع تم الحصول عليه من Morpho، وهو قرض تم اقتراضه وسداده في معاملة واحدة، وتم توجيه عمليات التداول من خلال Uniswap و Curve و Balancer.

ما هو تأثير هذا الاستغلال على موقع Summer.fi؟

الرقم المستغل متواضع بمعايير أكبر الاختراقات في مجال العملات المشفرة، ولكنه كبير بالنسبة لحجم Summer.fi

يبلغ إجمالي قيمة الأصول المحجوزة في البروتوكول حوالي 34.8 مليون دولار، معظمها، وأكثر من 32.4 مليون دولار منها موجودة على Ethereum، وفقًا Defiلبيانات. ويمثل سحب 6 ملايين دولار ما يقارب خُمس أصول المنصة، وهو مبلغ كبير.

Summer.fi نفسها على أنها مُجمِّع للعوائد يسمح للمستخدمين "بالاقتراض والمضاعفة والربح" عبر منصات الإقراض، حيث تقوم خزائن Lazy Summer بتوجيه الودائع إلى استراتيجيات مبنية على بروتوكولات مثل Morpho.

الربع الثاني من عام 2026 أكبر عدد من الهجمات المسجلة من حيثdent ، حيث تجاوز عدد حالات استغلال الثغرات 83 حالة. وتميز هذا الربع بالعديد من عمليات استنزاف البيانات الصغيرة، بالإضافة إلى التلاعب بأسعار الأسهم والحسابات، إلى جانب ثغرات في نظام إدارة الشبكات وسرقة مفاتيح الإدارة، كعوامل متكررة للهجمات.

Summer.fi بالهجوم، وكتبت على منصة X: "نحن على علم بالثغرة الأمنية التي تم الإبلاغ عنها في وقت سابق من اليوم، ونجري تحقيقًا في السبب الجذري. ويعمل حراس البروتوكول حاليًا على إيقاف جميع الخزائن في بروتوكول Lazy Summer مؤقتًا."

يؤكد الفريق أنهم سيقدمون المزيد من التحديثات حال ورودها.