Gli hacker sottraggono 6 milioni di dollari dal caveau di Summer.fi Lazy Summer in USDC

Secondo le società di sicurezza on-chain Blockaid e PeckShieldAlert, il 6 luglio alcuni hacker hanno sottratto circa 6 milioni di dollari dal protocollo Lazy Summer di Summer.fi , sfruttando un vault di USDC il cui rendimento pubblicizzato ha brevemente superato il 2 milioni percento

Blockaid ha scritto su X che il suo sistema di rilevamento degli exploit avevadentl'exploit mentre era in corso.

La società di sicurezza ha dichiarato all'epoca che circa 6 milioni di dollari erano stati "sprecati fino a quel momento" mentre le transazioni erano ancora in corso.

Un post successivo di Blockaid ha pubblicato la transazione di exploit, il portafoglio dell'attaccante, iltracdi exploit e l'elenco deitracLazy Summer interessati.

L'obiettivo era un singolo vaultdentda PeckShieldAlert come LazyVault_LowerRisk_USDC, ticker LVUSDC, una strategia gestita a rischio dalla società BlockAnalitica.

Secondo PeckShieldAlert, "l'APY visualizzato di LVUSDC ha brevemente raggiunto un picco di circa il 2,08 milioni%", e ha aggiunto che il maggiore detentore del vault dopo l'exploit "sembra essere associato a Torben Jorgensen".

Come ha funzionato l' a Summer.fi ?

Secondo BlockTempo, che ha citato l'orario delle 05:17 fornito da Blockaid, l'attaccante ha condotto un attacco di inflazione basato sulle donazioni contro un vault ERC-4626.

Lo standard ERC-4626 è l'interfaccia predefinita per i vault che emettono azioni a fronte di token depositati e calcola il prezzo delle azioni in base al rapporto tra le attività detenute e le azioni in circolazione.

Se un malintenzionato donasse una piccola quantità di token direttamente nel vault, potrebbe teoricamente distorcere quel rapporto e spingere il prezzo di una singola quota ben al di sopra del suo valore equo, per poi riscattarla a un prezzo superiore a quello investito.

BlockTempo ha riferito che l'operazione è stata finanziata tramite un prestito flash ottenuto da Morpho, un prestito contratto e rimborsato in un'unica transazione, con gli scambi effettuati tramite Uniswap, Curve e Balancer.

Qual è l'impatto di questa vulnerabilità su Summer.fi?

La cifra sottratta è modesta rispetto agli standard delle più grandi violazioni di dati nel settore delle criptovalute, ma è elevata in relazione alle dimensioni di Summer.fi

Il protocollo ha un valore totale bloccato di circa 34,8 milioni di dollari, la maggior parte dei quali, Ethereumsecondo Defii dati di. Il prelievo di 6 milioni di dollari rappresenta quasi un quinto degli asset della piattaforma, una cifra considerevole.

Summer.fi si presenta come un aggregatore di rendimenti che consente agli utenti di "prendere in prestito, moltiplicare e guadagnare" attraverso diverse piattaforme di prestito, con i caveau di Lazy Summer che instradano i depositi verso strategie basate su protocolli come Morpho.

Nel secondo trimestre del 2026 si è registrato il maggior numero di attacchi in termini di incidentident con oltre 83 exploit distinti. Quel trimestre è stato caratterizzato da molti furti di dati di minore entità, e le manipolazioni del prezzo delle azioni e contabili si sono affiancate alle vulnerabilità dei sistemi di controllo e al furto delle chiavi di amministratore come vettori ricorrenti.

Summer.fi ha riconosciuto l'attacco, scrivendo su X: "Siamo a conoscenza della vulnerabilità segnalata poco fa e stiamo indagando sulla causa principale. I responsabili del protocollo stanno attualmente sospendendo tutti i Vault del Lazy Summer Protocol."

Il team dichiara che fornirà ulteriori aggiornamenti non appena disponibili.