DeFi-протокол Summer.fi став жертвою експлойту, внаслідок якого було викрадено близько $6 млн у DAI. Про інцидент повідомили фахівці компаній Blockaid та CertiK.
За інформацією експертів, атака не була пов’язана зі зламом приватних ключів чи отриманням адміністративного доступу. Попередній аналіз свідчить, що хакер скористався недоліками у внутрішній логіці обліку активів протоколу.
Хакер використав флешпозику на понад $65 млн
Засновник Phylax Systems Одіссеас Ламтзидіс повідомив, що експлойт базувався на маніпуляції механізмами обліку ліквідності. За його словами, спочатку зловмисник оформив флешпозику – короткострокову позику, яку необхідно повністю повернути в межах однієї блокчейн-транзакції.
Загальна сума позики становила близько $65,4 млн. До неї увійшли 65,419 млн USDC та ще 1 млн USDT.
Флешпозики широко використовуються в екосистемі DeFi для арбітражу, рефінансування та інших легальних операцій. Проте цього разу механізм став ключовим елементом схеми атаки. Після отримання коштів зловмисник взаємодіяв із компонентами Lazy Summer та VaultV2. Він здійснив серію операцій із внесення депозитів, погашення токенів і виведення активів із різних частин протоколу.
За попередніми висновками дослідників, маніпулюючи тим, як система розраховує баланси користувачів і доступну ліквідність в межах однієї транзакції, хакер зміг випускати та погашати токени LVUSDC на вигідних для себе умовах.
Викрадені кошти конвертували у DAI
Після завершення всіх маніпуляцій контракт повернув флешпозику, а отриманий надлишок USDC було обміняно через децентралізовану біржу Curve. У результаті на адресу зловмисника було переведено понад $6 млн у стейблкоїні DAI.
За оцінками CertiK, чистий прибуток хакера становив близько $6 млн, хоча для проведення атаки він тимчасово використав ліквідність на понад $65,4 млн.
Експерти зазначають, що контракт, за допомогою якого було реалізовано експлойт, наразі не має верифікованого вихідного коду. Через це точний механізм атаки ще встановлюється, а розслідування інциденту триває.
