DeFi секторы үшін жаз қысқа болды: Summer.fi протоколы операциялық қызметін тоқтататынын ресми түрде жариялады. Себебі — $6,04 млн көлеміндегі бұзушылық, ол команданы қаржылық жастықтан және қалпына келтіру мүмкіндігінен айырды. Пайдаланушы интерфейсі 31 тамызға дейін қолжетімді болады, ал протоколдың одан әрі тағдыры енді оны басқаратын DAO-ның қолында.
Жеті жылдық тарих және басқарудағы $200 млн
Жоба шамамен жеті жыл жұмыс істеді, оның ішінде екі жылы Maker Foundation құрамында. 2021 жылдың маусымында Summer.fi алдымен Oasis.app, содан кейін өз брендін іске қосып, дербес бірлікке бөлінді. Осы уақыт ішінде қызметтерді 50 000-нан астам адам пайдаланды. Lazy Summer Protocol-дың жалпы бұғатталған құнының (TVL) шыңы $200 млн-ға жетті, алайда шабуыл кезінде бұл көрсеткіш $22 млн-ға дейін төмендеді.
Шабуылдың анатомиясы: ескірген бағалау және аяқталмаған процесс
Оқиға 6 шілдеде болды. Зиянкес Ethereum желісіндегі екі USDC қоймасының таза актив құнын манипуляциялады. Негізгі осалдық смарт-келісімшарт кодында емес, аяқталмаған операциялық процесте болды: пайдаланудан шығарылып жатқан Ark стратегиясы үлестер құнын есептеуге әсер етуді жалғастырды. Депозиттік лимит нөлге орнатылды, бірақ Ark FleetCommander белсенді жиынтығынан жойылмады.
Шабуылдаушы ескірген бағалауы бар Silo Varlamore USDC Growth қойма токендерін пайдаланды. Оларды «ұйықтап жатқан» стратегияға енгізіп, ол активтер құнын жасанды түрде көтеріп, басқа стратегиялардан — Morpho, Spark және Sky-дан нақты өтімді қаражаттарды шығарды. Операцияны жүргізу үшін $65 млн-нан астам сомаға флэш-несиелер қажет болды. Шабуылға дайындық 6 сәуірден кешіктірілмей басталды: байланысты әмияндар біртіндеп Silo токендерін жинақтады. Несиелер өтелгеннен кейін пайда DAI-ге айырбасталып, ішінара Tornado Cash арқылы жуылды.
Қаржылық соққы және сөзсіз жабылу
Әзірлеушілер команданың меншікті қаражатының едәуір бөлігі зардап шеккен қоймаларда болғанын мойындады. Резервтердің жоғалуы инфрақұрылымды қалпына келтіруге және жұмысты жалғастыруға мүмкіндік бермеді. Шабуылдан кейін Lazy Summer Protocol-дың барлық қоймалары тоқтатылды, депозиттік лимиттер нөлге келтірілді. DAO қазір қаражатты шығаруды және үлестерді өтеуді қайта бастау үшін рәсімдерді жүргізуде. Жобаның қолдауы және Discord-арнасы тамыз айының соңына дейін жұмыс істейді.
Aave негізін қалаушы Стани Кулечов Summer.fi-ді DeFi-дің алғашқы ізбасарларының бірі деп атап, секторға қауіпсіз кіру нүктесін құру кезіндегі жоғары ставкалар мен шығындарды атап өтті. Айта кетерлігі, Summer.fi-дің жабылуы күрделі нарықтық жағдайлар мен тұрақсыз бизнес-модельге сілтеме жасаған DeFi-қызметі Zapper-дің ұқсас шешімінен кейін көп ұзамай болды.
Аналитикалық түсініктеме: Бұл оқиға — кодта қателер болмаса да, операциялық есептеулер мен процестердің жеткіліксіз автоматтандырылуы апатты салдарға әкелуі мүмкін екендігінің жарқын мысалы. Протоколдардың TVL төмендеп, хакерлердің күрделене түскен жағдайында әрбір аяқталмаған процесс — бұл баяу әрекет ететін бомба. Инвесторлар үшін бұл сигнал: DeFi қауіпсіздігі — бұл тек код аудиті ғана емес, сонымен қатар мінсіз операциялық тәртіп.