Summer Finance стала черговим протоколом децентралізованих фінансів, що зіткнувся з великим інцидентом безпеки. За даними блокчейн-компанії Blockaid, під час експлойту, який триває, вже виведено $6 млн.

Офіційної заяви проєкт поки що не оприлюднив.

Атака через флеш-позику

Псевдонімний криптотрейдер Crypto Jargon повідомив, що атакувальник позичив кошти через флеш-позику, маніпулював ліквідністю в пулах DAI/USDC на Curve і в Morpho, отримав близько $6 млн прибутку та повернув позику в межах тієї самої транзакції. За словами трейдера, атакам із флеш-позиками досі важко запобігти:

«Атакувальнику не потрібно володіти грошима, якими він маніпулює; він позичає $65 млн на кілька секунд, тимчасово спотворює ціну або співвідношення ліквідності, вилучає різницю й повертає позику ще до того, як транзакція остаточно підтвердиться. Якщо хоч один крок відкочується, уся конструкція скасовується сама собою, тож ризикують вони лише комісією за газ».

Засновник Phylax Systems Одіссеас Ламцідіс також поділився технічним розбором, припустивши, що причиною експлойту стали вади в обліку сховищ Summer Finance у межах однієї транзакції та в припущеннях щодо ліквідності, а не скомпрометовані ключі чи зловживання адмінськими привілеями. Він додав, що атакувальник використав неверифікований контракт для організації експлойту, тоді як самі вразливі компоненти протоколу були верифіковані.

Втрати DeFi у 2026 році

Інцидент стався на тлі різкого зростання кількості атак на DeFi-протоколи цього року. За даними аналітичного сервісу CryptoRank, у 2026 році сектор зафіксував 121 злам DeFi, а втрати склали майже $942 млн.

Більшість атак цього року припала на другий квартал: хакери провели 85 експлойтів і викрали близько $775 млн. CryptoRank також з’ясував, що загальна заблокована вартість (TVL) у DeFi знижувалася щомісяця від початку року — приблизно зі $115 млрд у січні до $70 млрд наприкінці червня — у міру послаблення довіри інвесторів.

Хоча у другому кварталі зафіксовано найбільшу кількість експлойтів, основна частина втрат, за даними компанії, припала на дві великі атаки у квітні. Drift Protocol і KelpDAO разом втратили близько $590 млн — це понад половину всіх втрат DeFi за рік.

TRM Labs і Chainalysis пов’язали обидві атаки з хакерськими угрупованнями, що їх підтримує Північна Корея. Їхні розслідування показали, що зловмисники використовували соціальну інженерію, скомпрометовану інфраструктуру та маніпулювали системами крос-чейн-верифікації для проведення масштабних крадіжок.

Джерело: CryptoPotato