Blockaid declaró que su sistema de detección de exploits identificó un ataque activo en Summer.fi, una plataforma de agregación de rendimiento DeFi y gestión automatizada de bóvedas. La firma de seguridad dijo que el ataque había sustraído aproximadamente $6 millones en el momento de su alerta.
Blockaid publicó, "~$6M drenados hasta ahora", etiquetando a Summer.fi en su advertencia. La alerta no proporcionó una causa técnica completa, y Summer.fi no había publicado un análisis post-mortem público completo en el momento del informe.
Summer.fi ofrece herramientas de bóveda DeFi que ayudan a los usuarios a gestionar estrategias de rendimiento a través de sistemas automatizados. Sus materiales públicos describen el Protocolo Lazy Summer como una forma de acceder al rendimiento DeFi mediante la automatización y la curación de riesgos.
La plataforma también ofrece infraestructura de bóvedas institucionales. Summer.fi afirma que sus bóvedas autogestionadas permiten a las entidades mantener el control de las claves privadas mientras acceden a DeFi y a los mercados de rendimiento de activos del mundo real.
El exploit reportado de Summer.fi vuelve a poner los sistemas de bóveda automatizados bajo la atención del mercado. Las plataformas de rendimiento a menudo enrutan los fondos de los usuarios a través de varios protocolos de préstamo, staking y liquidez para mejorar los rendimientos.
Esa estructura puede reducir el trabajo manual para los usuarios, pero también crea más componentes. Los contratos inteligentes, los permisos de bóveda, los keepers, las configuraciones de riesgo y las integraciones externas necesitan verificaciones rigurosas.
Crypto.news cubrió recientemente una alerta de exploit de contrato inteligente de Blockaid vinculada a FOX Colony de ShapeShift en Arbitrum. Ese caso mostró cómo las firmas de seguridad pueden detectar drenajes activos antes de que un informe técnico completo esté disponible.
Blockaid también señaló un exploit de $3 millones en SquidRouterModule en 86 Gnosis Safes en mayo. En ese caso, los tokens robados se intercambiaron por DAI a través de pools de Uniswap V3 controlados por el atacante.
La pérdida reportada de $6 millones de Summer.fi sigue a varios eventos de seguridad DeFi en los últimos meses. Crypto.news informó que Stake DAO sufrió un exploit activo después de que un atacante mintiera más de 5.4 billones de vsdCRV y comenzara a intercambiar fondos por ETH.
Otro caso reciente involucró a Token of Power. Crypto.news informó que un exploit de Token of Power drenó $1.58 millones de un pool de Balancer V1, mientras que Blockaid describió el incidente como un ataque de toma de control de la gobernanza.
Grandes pérdidas de protocolos también han afectado a DeFi este año. Crypto.news informó que los exploits de DeFi en abril borraron alrededor de $13 mil millones en TVL, citando datos de Binance Research. Ese informe decía que la actividad de exploits redujo el capital bloqueado en los protocolos en cadena. También dijo que el apalancamiento en cadena aumentó a medida que el valor total bloqueado cayó más rápido que los préstamos.
La principal pregunta abierta es cómo comenzó el exploit de Summer.fi. La alerta de Blockaid confirmó una actividad de drenaje activa, pero la causa raíz aún necesita un informe técnico de Summer.fi o de investigadores de seguridad.
Los usuarios también estarán atentos para ver si se pueden congelar, rastrear o recuperar fondos. La recuperación depende de hacia dónde se muevan los activos robados, qué redes estén involucradas y si los servicios centralizados reciben alguno de los fondos.
El ataque llega en un momento delicado para las plataformas de bóvedas DeFi. El modelo de Summer.fi depende de la confianza en la automatización, el diseño de los contratos y los controles de riesgo. Un informe público deberá explicar qué falló y qué pasos se tomarán para proteger a los usuarios.
