Summer.fi команда $6,04 млн ұрланған бұзудан кейін операциялық қызметін тоқтататынын хабарлады. Пайдаланушы интерфейсі 31 тамызға дейін қолжетімді болады, ал протоколдың одан әрі тағдырын оны басқаратын орталықсыздандырылған автономды ұйым (ДАО) шешеді. Әзірлеушілер мойындады: «Біз қызметті тоқтатудан басқа өміршең жол жоқ деген қорытындыға келдік».
Жоба шамамен жеті жыл жұмыс істеді, оның екеуі Maker Foundation құрамында, ал 2021 жылдың маусымынан бастап тәуелсіз платформа ретінде. Осы уақыт ішінде Oasis.app және Summer.fi қызметтерін 50 000-нан астам пайдаланушы пайдаланды. Шыңында Lazy Summer Protocol-тың жалпы бұғатталған құны $200 млн-ға жетті, бірақ шабуыл кезінде бұл көрсеткіш DefiLlama деректері бойынша шамамен $22 млн-ға дейін төмендеді.
Шабуылдың мәліметтері: ескірген активтермен манипуляция
6 шілдеде зұлымдық иесі Ethereum желісіндегі Lazy Summer Protocol-тың екі USDC қоймасының активтерінің таза құнын манипуляциялап, бір атомдық транзакция аясында шамамен $6,04 млн шығарды. Төмен тәуекелді қойма $5,64 млн, ал жоғары тәуекелді өнім $400 000 жоғалтты. Шабуыл ескірген бағалауы бар Silo Varlamore USDC Growth қойма токендерін пайдаланудың арқасында мүмкін болды. Олар пайдаланудан шығарылып жатқан Ark стратегиясына енгізілді. Ark депозиттік лимиті нөлге орнатылды, бірақ стратегияны FleetCommander белсенді жиынтығынан алып тастамады, сондықтан оның активтері үлестердің таза құнын есептеуге әсер етуін жалғастырды.
Негізгі фактор аяқталмаған операция болды: Ark өшіру сатысында болды, бірақ әлі де есептеулерде ескерілді. Команда смарт-келісімшарт кодында жеке қателік анықтаған жоқ. Зұлымдық иесі басқа стратегиялардан, соның ішінде Morpho, Spark және Sky-дан нақты өтімді қаражат алу үшін активтердің бағалауын жасанды түрде арттырды. Ол үшін ол $65 млн-нан астам сомаға флэш-несиелер тартты.
Дайындық және салдары
Команданың мәліметтері бойынша, шабуылға дайындық 6 сәуірден кешікпей басталды. Шабуылдаушымен байланысты әмияндар біртіндеп Silo токендерін жинақтады, содан кейін оларды манипуляция үшін пайдаланды. Флэш-несиелерді өтегеннен кейін зұлымдық иесі пайданы DAI-ге айырбастады, ал қаражаттың бір бөлігін аралық әмиян арқылы Tornado Cash арқылы жіберді. Әзірлеушілер олардың жеке қаражатының едәуір бөлігі зардап шеккен қоймаларда болғанын, бұл жобаны қалпына келтіру және қызметін жалғастыру үшін резервтерден айырғанын атап өтті.
Шабуылдан кейін Lazy Summer Protocol-тың барлық қоймалары тоқтатылды, ал ДАО басқаратын өнімдердегі депозит лимиттері нөлге орнатылды. Ұйым қаражатты шығаруды және үлестерді өтеуді қайта бастау үшін процедураларды жүргізуде. Функциялар қалпына келтірілгеннен кейін олар Summer.fi интерфейсінде пайда болады, ал жобаның қолдау қызметі мен Discord-ы тамыз айының соңына дейін жұмыс істейді.
Aave негізін қалаушы Стани Кулечов Summer.fi-ді DeFi-дің алғашқы ізбасарларының бірі деп атап, былай деді: «Бұл DeFi-ге сапалы және қауіпсіз қолжетімділік нүктесін құру кезіндегі ставкалар мен шығындардың қаншалықты жоғары екенін көрсетеді». Summer.fi-дің жабылуы DeFi-қызметі Zapper-дің ұқсас шешімінен кейін болды, оның командасы кетуді күрделі нарықтық жағдайлармен түсіндірді.
Менің талдауым: Бұл жағдай — кодтағы осалдықтар ғана емес, операциялық кемшіліктердің де апатты салдарға әкелуі мүмкін екендігінің айқын мысалы. Ескірген стратегияны белсенді жиынтықтан уақытында алып тастамау — бұл жобаны құрбан еткен тәуекелдерді басқарудағы өрескел қателік. DeFi нарығы барған сайын жетіліп келеді, бірақ мұндай оқиғалар тіпті тәжірибелі командалардың да адам факторынан сақтандырылмағанын еске салады. Жылдың бірінші жартысында криптожобалар Immunefi деректері бойынша 207 оқиға нәтижесінде шамамен $972 млн жоғалтты және бұл бұзу операциялық процестерді қатаң аудиттеу қажеттілігін растайды.