해커들이 Summer.fi의 Lazy Summer USDC 금고에서 600만 달러를 빼돌렸습니다

공격자들은 서머파이(Summer.fi)의 레이지 서머(Lazy Summer) 프로토콜에서 약 6백만 달러를 빼돌렸으며, 광고된 수익률이 일시적으로 200만 퍼센트를 넘어선 USDC 볼트를 악용한 것으로 알려졌습니다.

Blockaid는 X에 게시한 글에서 자사의 익스플로잇 탐지 시스템이dent익스플로잇이 진행되는 동안 이를 식별

보안업체는 당시 거래가 진행되는 동안 약 6백만 달러가 "지금까지 빠져나갔다"고 밝혔습니다.

Blockaid는 후속 게시물을 통해 공격자의 지갑 주소, 공격trac, 그리고 영향을 받은 Lazy Summertrac목록을 공개했습니다.

목표는 PeckShieldAlert가 LazyVault_LowerRisk_USDC(티커: LVUSDC)로dent한 단일 금고였으며, 이는 BlockAnalitica라는 회사가 위험 관리를 담당하는 전략입니다.

PeckShieldAlert 에 따르면 , "LVUSDC의 표시된 연이율(APY)이 일시적으로 약 208만%까지 급등했다"고 하며, 해킹 이후 해당 금고의 최대 보유자는 "토르벤 요르겐센과 연관된 것으로 보인다"고 덧붙였습니다.

Summer.fi 공격은 어떻게 이루어졌나요 ?

BlockTempo 는 Blockaid의 발표 시간인 05:17을 인용 하여 공격자가 ERC-4626 볼트를 대상으로 기부 기반 인플레이션 공격을 실행했다고 밝혔습니다.

ERC-4626 표준은 예치된 토큰에 대해 주식을 발행하는 볼트의 기본 인터페이스이며, 보유 자산 대비 발행 주식 비율을 기준으로 주식 가격을 계산합니다.

공격자가 소량의 토큰을 직접 금고에 기부하는 경우, 이론적으로 해당 비율을 왜곡하여 단일 주식의 가격을 공정 가치보다 훨씬 높게 끌어올린 다음, 투자한 금액보다 더 많은 금액으로 상환할 수 있습니다.

BlockTempo는 해당 작업이 Morpho로부터 받은 플래시론으로 자금을 조달했으며, 이 대출은 단일 거래 내에서 차입 및 상환되었고, 거래는 Uniswap, Curve 및 Balancer를 통해 이루어졌다고 보도했습니다.

이번 취약점 공격이 Summer.fi 에 미치는 영향은 무엇입니까 ?

피해 규모는 암호화폐 업계 최대 규모의 해킹 사건들에 비하면 적은 편이지만, Summer.fi의 규모와 비교하면 상당한 수치입니다.

Defillama 데이터 해당 프로토콜의 총 예치 자산(TVL)은 약 3,480만 달러이며, 그중 대부분인 3,240만 달러 이상이 Ethereum에 따르면 에 예치되어 있습니다 . 600만 달러의 유출은 플랫폼 자산의 거의 5분의 1에 해당하는 규모로, 상당한 손실입니다.

Summer.fi는 사용자가 다양한 대출 플랫폼에서 "빌리고, 불리고, 벌 수 있도록" 하는 수익률 통합 플랫폼으로 자칭하며, Lazy Summer 금고는 Morpho와 같은 프로토콜을 기반으로 구축된 전략에 예치금을 투입합니다.

2026년 2분기는 83건 이상의 개별 공격이 발생하여 역대dent 유출이 다수 발생했으며, 주가 및 회계 조작, 교량 결함, 관리자 키 탈취 등이 반복적으로 나타나는 공격 유형이었습니다. 최다 공격 건수를 기록했습니다 . 해당 분기에는 소규모

Summer.fi는 X에 다음과 같이 게시하며 공격 사실을 인정했습니다. "오늘 오전에 보고된 공격에 대해 인지하고 있으며 근본 원인을 조사하고 있습니다. 프로토콜 관리자는 현재 Lazy Summer 프로토콜의 모든 Vault를 일시 중지하고 있습니다."

팀 측은 새로운 소식이 나오는 대로 추가 업데이트를 제공할 것이라고 밝혔습니다.