악용자는 Summer.fi Lazy Summer USDC 뱅크에서 $6M을 유출

공격자들이 약 6백만 달러를 탈취했습니다. Summer.fi7월 6일 Summer.fi의 Lazy Summer 프로토콜에서 약 $⟦N1⟧백만을 유출했으며, 이는 Blockaid와 PeckShieldAlert와 같은 온체인 보안 기업들에 따르면 광고된 수익률이 잠시 200%를 넘어선 USDC 뱅크를 악용한 것입니다.

Blockaid X에 자신의 악용 탐지 시스템이 악용이 진행 중일 때 이를 식별했다고 밝혔습니다.

보안 기업은 당시 거래가 여전히 진행 중이던 시점에 약 600만 달러가 "이미 유출되었다"고 밝혔습니다.

Blockaid의 후속 게시물은 악용 거래, 공격자의 지갑, 악용 계약체 및 영향을 받은 Lazy Summer 계약체 목록을 게시했습니다.

목표는 PeckShieldAlert가 LazyVault_LowerRisk_USDC, 티커 LVUSDC로 식별한 단일 뱅크였으며, 이는 BlockAnalitica라는 기업에서 리스크 관리하는 전략입니다.

에 따르면 은 스펙터의 주장을 확인하고 추가 세부 정보를 제공하며, 헤데라 메인넷에서 이더리움으로 이미 525만 달러가 이동했다고 밝혔다., "LVUSDC의 표시된 APY는 잠시 ~2.08M%로 급등했으며," 악용 후 뱅크의 최대 보유자가 "Torben Jorgensen와 관련이 있는 것으로 보입니다"라고 덧붙였습니다.

공격은 어떻게 Summer.fi 진행되었습니까?

에 따르면 BlockTempo는 Blockaid의 05:17 시점을 인용하며, 공격자가 ERC-4626 뱅크에 대해 기부 기반 인플레이션 공격을 실행했다고 밝혔습니다.

ERC-4626 표준은 예치된 토큰에 대해 지분을 발행하는 뱅크의 기본 인터페이스이며, 보유 자산과 발행 지분의 비율을 기반으로 지분 가격을 계산합니다.

공격자가 뱅크에 소량의 토큰을 직접 기부하면 이론적으로 해당 비율을 왜곡하여 단일 지분의 가격을 공정 가치보다 훨씬 높게 밀어 올린 후, 예치한 금액보다 더 많은 금액을 인출할 수 있습니다.

BlockTempo는 이 작업이 Morpho에서 취한 플래시 로인으로 자금 조달되었으며, 이는 한 번의 거래 내에서 빌리고 상환되는 대출이며, 거래는 Uniswap, Curve, Balancer를 통해 라우팅되었다고 보고했습니다.

이 취약점이 Summer.fi?

이 금액은 암호화폐 역사상 가장 큰 유출 사건들에 비하면 소규모이지만, Summer.fi의 규모에 비하면 큰 금액입니다.

프로토콜에는 총 잠긴 가치(TVL)가 약 3,480만 달러 있으며, 그 대부분은 이더리움에 있으며, per Defillama 데이터에 따르면 3,240만 달러 이상입니다. 600만 달러의 유출은 플랫폼 자산의 약 5분의 1에 가까워 상당한 규모입니다.

Summer.fi은 Morpho와 같은 프로토콜에 기반한 전략에 예금을 라우팅하는 Lazy Summer 뱅크를 통해 사용자들이 "빌리고, 증폭하고, 수익을 얻"을 수 있게 하는 수익 집계기(yield aggregator)로 자신을 소개합니다.

Q2 2026 가 가장 많은 공격을 사건 수 기준으로 기록상 가장 많이 겪었으며, 83건 이상의 별도 악용 사건이 있었습니다. 해당 분기는 많은 소규모 유출로 특징지어졌으며, 지분 가격 및 회계 조작은 교량 결함 및 관리자 키 도난과 함께 반복적인 벡터로 자리 잡았습니다.

Summer.fi은 공격을 인정하며 X(구 트위터)에 "오늘早些에 보고된 악용 사건을 인지했으며 근본 원인을 조사 중입니다. 프로토콜 수호자들은 현재 Lazy Summer Protocol의 모든 뱅크를 일시 중단하고 있습니다."라고 작성했습니다.

팀은 추가 업데이트가 제공되면 더 많은 정보를 제공할 것이라고 밝혔습니다.