攻撃者はSummer.fiのLazy Summer USDC預け入れ先から$6Mを抜き取った

攻撃者は約$6万を盗み出しました Summer.fiのLazy Summerプロトコルから約$⟦N1⟧百万を抜き取り、オンチェーンセキュリティ企業のBlockaidとPeckShieldAlertによると、広告されていた利回りが一時的に200万％を超えたUSDC預け入れ先を悪用しました。

Blockaid X 上で 攻撃が進行中の際に、その検知システムが攻撃を特定したと述べています。

セキュリティ企業は当時、トランザクションがまだ移動している間に約600万ドルが「すでに抜き取られた」と述べていました。

Blockaidによるフォローアップ投稿では、攻撃トランザクション、攻撃者のウォレット、攻撃コントラクト、および影響を受けたLazy Summerコントラクトのリストが公開されました。

標的となったのは、PeckShieldAlertがLazyVault_LowerRisk_USDC（ティッカー：LVUSDC）と特定した単一の預け入れ先で、この戦略はBlockAnaliticaによってリスク管理されていました。

によると PeckShieldAlert「LVUSDCの表示APYは一時的に約208万％に急騰し」、攻撃後の預け入れ先の最大保有者は「Torben Jorgensenに関連している可能性がある」と付け加えました。

この Summer.fi 攻撃はどのように行われたのでしょうか？

によると BlockTempoは、Blockaidの05:17というタイミングを引用し、攻撃者がERC-4626預け入れ先に対して寄付ベースのインフレーション攻撃を実行したと報じました。

ERC-4626標準は、預け入れられたトークンに対してシェアを発行する預け入れ先のデフォルトインターフェースであり、シェア価格は保有資産と発行済みシェアの比率に基づいて計算されます。

攻撃者が少量のトークンを直接預け入れ先に寄付すれば、理論的にはその比率を歪め、単一シェアの価格を公正価値よりもはるかに高く押し上げ、その後、投入した金額以上の金額を引き出すことができます。

BlockTempoの報告によると、この作戦はMorphoからのフラッシュローンによって資金提供され、これは1つのトランザクション内で借りて返済されるローンで、取引はUniswap、Curve、Balancerを通じてルーティングされました。

今回の悪用が Summer.fi?

この被害額は暗号通貨史上最大の侵害事例と比較すれば modest ですが、Summer.fiの規模に対しては大きなものです。

プロトコルの総ロック価値（TVL）は約3,480万ドルで、その大部分は Defillamaのデータによると、3,240万ドル以上がEthereum上にあります。600万ドルの抜き取りは、プラットフォームの資産の約5分の1に近く、これは大きな規模です。

Summer.fiは、ユーザーが「借りて、増やし、稼ぐ」ことができるイールドアグリゲーターとして自己紹介しており、Lazy Summerの預け入れ先はMorphoなどのプロトコル上に構築された戦略に資金をルーティングしています。

Q2 2026 で最も多くの攻撃が 記録されました。事件数では83件以上の別個の侵害がありました。その四半期は多くの小規模な抜き取りで特徴づけられ、シェア価格や会計操作は、ブリッジの欠陥や管理者キーの盗難とともに、繰り返し出現するベクターとして並んでいます。

Summer.fiは攻撃を認め、X（旧Twitter）で「本日早些に報告された攻撃について認識しており、根本原因を調査しています。プロトコルのガディアンズは現在、Lazy Summerプロトコル全体のすべての預け入れ先を一時停止しています」と投稿しました。

チームは、更新情報が出次第、さらに詳細な情報を提供すると述べています。