Los atacantes drenan $6M de la bóveda USDC Lazy Summer de Summer.fi
- Los atacantes drenaron aproximadamente 6 millones de dólares del Lazy Summer USDC vault de Summer.fi el 6 de julio.
- La explotación, financiada con un préstamo flash de Morpho y enrutada a través de Uniswap, Curve y Balancer, eliminó casi una quinta parte de los 34,8 millones de dólares de TVL de Summer.fi.
- Summer.fi ha pausado todos los Lazy Summer vaults y está investigando la causa raíz.
Los atacantes han drenado alrededor de $6 millones de Summer.fiel protocolo Lazy Summer de Summer.fi el 6 de julio, explotando una bóveda USDC cuyo rendimiento anunciado saltó brevemente por encima del 2 millones de por ciento, según las firmas de seguridad en cadena Blockaid y PeckShieldAlert.
Blockaid escribió en X que su sistema de detección de exploits había identificado el exploit mientras estaba en curso.
La firma de seguridad declaró entonces que unos 6 millones de dólares habían sido “drenados hasta el momento” mientras las transacciones aún se movían.
Una publicación posterior de Blockaid publicó la transacción del exploit, la billetera del atacante, el contrato del exploit y la lista de contratos afectados de Lazy Summer.
El objetivo fue una única bóveda que PeckShieldAlert identificó como LazyVault_LowerRisk_USDC, ticker LVUSDC, una estrategia gestionada por riesgo por la firma BlockAnalitica.
Según PeckShieldAlert, “El APY mostrado de LVUSDC aumentó brevemente a ~2.08M%,” y añadió que el mayor titular de la bóveda después del exploit “parece estar asociado con Torben Jorgensen.”
¿Cómo funcionó el Summer.fi ataque?
Según BlockTempo, que citó el momento de Blockaid de 05:17, el atacante ejecutó un ataque de inflación basado en donaciones contra una bóveda ERC-4626.
El estándar ERC-4626 es la interfaz predeterminada para bóvedas que emiten acciones contra tokens depositados, y calcula el precio de la acción basándose en la relación de activos mantenidos con acciones en circulación.
Si un atacante dona una pequeña cantidad de tokens directamente a la bóveda, teóricamente podría distorsionar esa relación y empujar el precio de una sola acción muy por encima de su valor justo, para luego canjear por más de lo que puso.
BlockTempo informó que la operación fue financiada por un préstamo flash tomado de Morpho, un préstamo tomado y devuelto dentro de una sola transacción, con las operaciones enrutadas a través de Uniswap, Curve y Balancer.
¿Cuál es el impacto de la explotación en Summer.fi?
La cifra explotada es modesta según los estándares de las mayores brechas de criptomonedas, pero es grande en relación con el tamaño de Summer.fi.
El protocolo tiene alrededor de 34,8 millones de dólares en valor total bloqueado, la mayor parte de él, y más de 32,4 millones de dólares están en Ethereum, según datos de Defillama. El drenaje de 6 millones de dólares está cerca de una quinta parte de los activos de la plataforma, lo cual es sustancial.
Summer.fi se comercializa como un agregador de rendimientos que permite a los usuarios “prestar, multiplicar y ganar” en diferentes plataformas de préstamos, con las bóvedas Lazy Summer que enrutan los depósitos hacia estrategias construidas sobre protocolos como Morpho.
Q2 2026 vio la mayor cantidad de ataques en registros por conteo de incidentes, con más de 83 exploits separados. Ese trimestre se caracterizó por muchos drenajes más pequeños, y las manipulaciones de precio de acciones y contables se sitúan junto a fallos de puentes y robo de claves de administrador como vectores recurrentes.
Summer.fi ha reconocido el ataque, escribiendo en X: “Somos conscientes del exploit reportado un poco más temprano hoy y estamos investigando la causa raíz. Los guardianes del protocolo están pausando actualmente todas las Bóvedas en todo el Lazy Summer Protocol.”
El equipo afirma que proporcionará más actualizaciones a medida que se vayan produciendo.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Preguntas frecuentes
¿Cuánto se robó de SummerFi y cuándo?
La firma de seguridad en cadena Blockaid estimó que se drenaron unos 6 millones de dólares el 6 de julio de 2026, y BlockTempo, citando a Blockaid, fijó el inicio del ataque a las 05:17.
¿Qué vault de SummerFi fue explotado y cómo?
PeckShield identificó como principal vault afectado al LazyVault_LowerRisk_USDC (LVUSDC), gestionado por BlockAnalitica; según BlockTempo, el atacante utilizó un préstamo flash de Morpho para ejecutar un ataque de inflación de estilo donación sobre el vault ERC-4626, enrutando operaciones a través de Uniswap, Curve y Balancer.
¿Qué tan grande es SummerFi en relación con la pérdida?
DefiLlama lista a Summer.fi con aproximadamente 33,3 millones de dólares en valor total bloqueado, la mayoría en Ethereum, por lo que la pérdida reportada de 6 millones de dólares equivale a cerca de una quinta parte de los activos del protocolo.
Descargo de responsabilidad. La información proporcionada no constituye asesoramiento financiero. Cryptopolitan.com no asume ninguna responsabilidad por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente realizar una investigación independiente y/o consultar con un profesional calificado antes de tomar cualquier decisión de inversión.
Hannah Collymore
Hannah es escritora y editora con casi una década de experiencia en la redacción de blogs y la cobertura de eventos en el ámbito de las criptomonedas. En Cryptopolitan, Hannah contribuye a la página de noticias, informando y analizando los últimos avances en DeFi, RWA, regulación de criptomonedas, inteligencia artificial y tecnologías de vanguardia. Se graduó de la Universidad de Arcadia con una licenciatura en Administración de Empresas.
