Лето для DeFi-сектора оказалось коротким: протокол Summer.fi официально объявил о прекращении операционной деятельности. Причина — взлом на $6,04 млн, который лишил команду финансовой подушки и возможности для восстановления. Пользовательский интерфейс будет доступен до 31 августа, а дальнейшая судьба самого протокола теперь в руках управляющей им DAO.
Семь лет истории и $200 млн под управлением
Проект проработал около семи лет, из которых два года в составе Maker Foundation. В июне 2021 года Summer.fi выделился в самостоятельную единицу, запустив сначала Oasis.app, а затем и собственный бренд. За это время сервисами воспользовались более 50 000 человек. Пик общей заблокированной стоимости (TVL) Lazy Summer Protocol достигал $200 млн, однако к моменту атаки этот показатель сократился до $22 млн.
Анатомия атаки: устаревшая оценка и незавершенный процесс
Инцидент произошел 6 июля. Злоумышленник манипулировал чистой стоимостью активов двух USDC-хранилищ в сети Ethereum. Ключевая уязвимость заключалась не в коде смарт-контрактов, а в незавершенном операционном процессе: стратегия Ark, которую уже выводили из эксплуатации, продолжала влиять на расчет стоимости долей. Депозитный лимит был установлен на ноль, но Ark не удалили из активного набора FleetCommander.
Атакующий использовал токены хранилища Silo Varlamore USDC Growth с устаревшей оценкой. Внеся их в «спящую» стратегию, он искусственно завысил стоимость активов и вывел реальные ликвидные средства из других стратегий — Morpho, Spark и Sky. Для проведения операции потребовались флэш-кредиты на сумму более $65 млн. Подготовка к атаке началась не позднее 6 апреля: связанные кошельки постепенно накапливали токены Silo. После погашения кредитов прибыль была конвертирована в DAI и частично отмыта через Tornado Cash.
Финансовый удар и неизбежное закрытие
Разработчики признали, что значительная часть собственных средств команды находилась в пострадавших хранилищах. Потеря резервов сделала невозможным восстановление инфраструктуры и продолжение работы. После атаки все хранилища Lazy Summer Protocol приостановлены, лимиты депозитов обнулены. DAO сейчас проводит процедуры для возобновления вывода средств и погашения долей. Поддержка и Discord-канал проекта продолжат работу до конца августа.
Основатель Aave Стани Кулечов назвал Summer.fi одним из первопроходцев DeFi, отметив высокие ставки и издержки при создании безопасной точки доступа к сектору. Примечательно, что закрытие Summer.fi произошло вскоре после аналогичного решения DeFi-сервиса Zapper, который сослался на сложные рыночные условия и неустойчивую бизнес-модель.
Аналитический комментарий: Этот инцидент — яркий пример того, как даже при отсутствии ошибок в коде, операционные просчеты и недостаточная автоматизация процессов могут привести к катастрофическим последствиям. В условиях, когда TVL протоколов падает, а хакеры становятся все изощреннее, каждый незавершенный процесс — это бомба замедленного действия. Для инвесторов это сигнал: безопасность DeFi — это не только аудит кода, но и безупречная операционная дисциплина.