Betrüger erbeuten 6 Millionen Dollar aus dem USDC-Tresor von Summer.fi (Lazy Summer)

Angreifer haben am 6. Juli rund 6 Millionen Dollar aus Summer.fi, indem sie einen USDC-Tresor ausnutzten, dessen beworbene Rendite kurzzeitig über 2 Millionen Prozent gestiegen war, wie die On-Chain-Sicherheitsfirmen Blockaid und PeckShieldAlert mitteilten.

Blockaid schrieb auf X , dass sein Exploit-Erkennungssystemdentden Exploit während seiner Laufzeit identifiziert

Das Sicherheitsunternehmen erklärte damals, dass bisher etwa 6 Millionen Dollar „abgeflossen“ seien, während die Transaktionen noch liefen.

In einem Folgebeitrag veröffentlichte Blockaid die ausgenutzte Transaktion, die Wallet des Angreifers, den ausgenutztentracund die Liste der betroffenen Lazy Summer-trac.

Das Ziel war ein einzelner Tresor, den PeckShieldAlert als LazyVault_LowerRisk_USDC, Ticker LVUSDC,dent, eine Strategie, deren Risikomanagement von der Firma BlockAnalitica übernommen wurde.

Laut PeckShieldAlertschnellte der angezeigte Jahreszins von LVUSDC kurzzeitig auf etwa 2,08 Millionen Prozent hoch. Weiter hieß es, der größte Inhaber des Tresors nach dem Exploit stehe offenbar in Verbindung mit Torben Jorgensen.

Wie funktionierte der Summer.fi ?

Laut BlockTempo, die sich auf Blockaids Zeitangabe von 05:17 Uhr beriefen, führte der Angreifer einen auf Spenden basierenden Inflationsangriff gegen einen ERC-4626-Tresor durch.

Der ERC-4626-Standard ist die Standardschnittstelle für Vaults, die Aktien gegen hinterlegte Token ausgeben, und er berechnet den Aktienpreis auf der Grundlage des Verhältnisses von gehaltenen Vermögenswerten zu ausstehenden Aktien.

Wenn ein Angreifer eine kleine Menge Token direkt in den Tresor einzahlt, könnte er theoretisch dieses Verhältnis verzerren und den Preis einer einzelnen Aktie weit über ihren fairen Wert treiben, um dann mehr für die Token zu erhalten, als er eingezahlt hat.

BlockTempo berichtete, dass die Operation durch einen Flash-Kredit von Morpho finanziert wurde, ein Kredit, der in einer einzigen Transaktion aufgenommen und zurückgezahlt wurde, wobei die Transaktionen über Uniswap, Curve und Balancer abgewickelt wurden.

Welche Auswirkungen hat die Sicherheitslücke auf Summer.fi?

Die ausgenutzte Zahl ist im Vergleich zu den größten Krypto-Datendiebstählen bescheiden, aber im Verhältnis zur Größe von Summer.fi ist sie hoch

Das Protokoll verfügt über einen Gesamtwert von rund 34,8 Millionen US-Dollar, der größtenteils gesperrt ist. EthereumLaut Defillama. Der Abfluss von 6 Millionen US-Dollar entspricht fast einem Fünftel des Plattformvermögens und ist somit beträchtlich.

Summer.fi vermarktet sich als Renditeaggregator, der es Nutzern ermöglicht, über verschiedene Kreditplattformen hinweg „Kredite aufzunehmen, zu vervielfachen und zu verdienen“. Die Lazy Summer-Tresore leiten Einlagen in Strategien weiter, die auf Protokollen wie Morpho basieren.

Im zweiten Quartal 2026 wurden die meisten Angriffe seit Beginndent , mit über 83 einzelnen Sicherheitslücken. Dieses Quartal war durch viele kleinere Verluste gekennzeichnet, und Aktienkurs- und Bilanzmanipulationen zählen neben Sicherheitslücken und dem Diebstahl von Administrator-Schlüsseln zu den wiederkehrenden Angriffsvektoren.

Summer.fi hat den Angriff bestätigt und auf X geschrieben: „Wir sind uns des heute Morgen gemeldeten Exploits bewusst und untersuchen die Ursache. Die Protokollwächter pausieren derzeit alle Vaults im Lazy Summer Protocol.“

Das Team teilt mit, dass es weitere Aktualisierungen bereitstellen wird, sobald diese vorliegen.