- Протокол Summer.fi подвергся эксплойту, по итогам которого злодей похитил около $6 млн
- Атака не связана с компрометацией приватных ключей либо административных прав — взломщик пользовался незащищенностью в логике учетных устройств протокола.
- Для взлома употребляли флеш-займ на $65,4 млн в $USDC и $USDT, который возвратили в рамках одной операции.
DeFi-протокол Summer.fi был атакован. Про это сказали компании PeckShieldAlert, Blockaid и CertiK. По данным на время опубликования, злодей похитил около $6 млн в $DAI.
Как произошла атака?
Подготовительный изучение основоположника Phylax Systems Одиссеаса Ламтзидиса говорит, что предпосылкой стала манипуляция учетными механизмами протокола, но не взлом приватных ключей либо административных прав.
Схема атаки смотрелась так. Поначалу злодей взял флеш-займ — короткосрочный кредит, который необходимо возвратить в рамках одной операции. Размер составила $65,4 млн: 65,419 млн $USDC и 1 млн $USDT. Флешзаймы нередко употребляют в законных DeFi-операциях, но в этом случае их применили со злостной целью.
Получив средства, взломщик пользовался открытыми механизмами протокола Lazy Summer и VaultV2: занес депозит, затушил токены, вывел средства из различных компонент системы. Манипулируя тем, как протокол считает балансы и доступную ликвидность снутри одной операции, злодей сумел выпустить и затушить токены LVUSDC на прибыльных себе критериях.
После возврата флеш-займа договор поменял приобретенный избыток $USDC через биржу Curve и выслал свыше 6 млн $DAI на адрес злодея.
По данным CertiK, общая прибыль атакующего составила около $6 млн при использовании флеш-займа приблизительно на $65,4 млн. Договор эксплойта не верифицирован, потому четкая логика атаки пока неведома.