Summer Finance стала очередным протоколом децентрализованных финансов, столкнувшимся с крупным инцидентом безопасности. По данным блокчейн-компании Blockaid, в ходе продолжающегося эксплойта уже выведено $6 млн.

Официального заявления проект пока не опубликовал.

Атака через флеш-заём

Псевдонимный криптотрейдер Crypto Jargon сообщил, что атакующий занял средства через флеш-заём, манипулировал ликвидностью в пулах DAI/USDC на Curve и в Morpho, извлёк около $6 млн прибыли и вернул заём в рамках той же транзакции. По словам трейдера, атаки с флеш-займами по-прежнему трудно предотвратить:

«Атакующему не нужно владеть деньгами, которыми он манипулирует; он занимает $65 млн на несколько секунд, временно искажает цену или соотношение ликвидности, извлекает разницу и возвращает заём ещё до того, как транзакция окончательно подтвердится. Если хоть один шаг откатывается, вся конструкция отменяется сама собой, так что рискуют они только комиссией за газ».

Основатель Phylax Systems Одиссеас Ламцидис также поделился техническим разбором, предположив, что причиной эксплойта стали недостатки в учёте хранилищ Summer Finance в рамках одной транзакции и в допущениях о ликвидности, а не скомпрометированные ключи или злоупотребление админскими привилегиями. Он добавил, что атакующий использовал неверифицированный контракт для организации эксплойта, тогда как сами уязвимые компоненты протокола были верифицированы.

Потери DeFi в 2026 году

Инцидент произошёл на фоне резкого роста числа атак на DeFi-протоколы в этом году. По данным аналитического сервиса CryptoRank, в 2026 году сектор зафиксировал 121 взлом DeFi, а потери составили почти $942 млн.

Большинство атак этого года пришлось на второй квартал: хакеры провели 85 эксплойтов и похитили около $775 млн. CryptoRank также выяснил, что общая заблокированная стоимость (TVL) в DeFi снижалась каждый месяц с начала года — примерно со $115 млрд в январе до $70 млрд к концу июня — по мере ослабления доверия инвесторов.

Хотя во втором квартале зафиксировано наибольшее число эксплойтов, основная часть потерь, по данным компании, пришлась на две крупные атаки в апреле. Drift Protocol и KelpDAO вместе потеряли около $590 млн — это более половины всех потерь DeFi за год.

TRM Labs и Chainalysis связали обе атаки с хакерскими группировками, поддерживаемыми Северной Кореей. Их расследования показали, что злоумышленники использовали социальную инженерию, скомпрометированную инфраструктуру и манипулировали системами кросс-чейн-верификации для проведения масштабных хищений.

Источник: CryptoPotato