Summer Finance遭闪电贷攻击，损失600万美元

币安Binance

币安交易所是全球加密货币交易所龙头，在手机上即可买卖比特币等数字货币！

官网注册  APP下载

Summer Finance 是如何被攻击的？

据链上分析师报告，去中心化金融（DeFi）收益优化协议 Summer Finance（亦称 Summer.fi）遭遇攻击，损失达 600 万美元。区块链安全公司 Blockaid 于周一凌晨率先发出警报，随后其他安全分析师详细说明了攻击者如何操纵 Summer.fi 旗下 Lazy Summer Protocol 的智能合约账户逻辑。Cyvers 指出，攻击者似乎通过价格操纵利用了份额计算漏洞。被盗资金被兑换为 DAI 稳定币，并转移至攻击者控制的地址。CertiK 表示，攻击者通过一笔 6540 万美元的闪贷，利用协议对金库内资产的记账方式，成功赎回了 7090 万美元。此次攻击依赖临时性资本、金库记账失真以及赎回流程中的漏洞，使得攻击者能够提取超出其存入金额的价值。

为什么金库记账如此关键？

此次攻击的核心在于 Lazy Summer Protocol，这是一个自动化收益优化系统，利用 AI 管理员在不同高收益借贷平台之间分配和再平衡存款。这些系统旨在提升资本效率，但严重依赖金库、外部借贷市场以及内部份额计算的精确记账。CertiK 表示，攻击者能够操纵 FleetCommander 对多个金库的 totalAssets() 记账——FleetCommander 是负责管理金库操作的智能合约，而 Ark 则负责将金库连接到外部借贷协议。CertiK 写道：“攻击者在存入 6480 万美元后成功赎回了 7090 万美元，这得益于他们操纵了 FleetCommander 对多个金库的 totalAssets() 记账，尤其是 Silo: Varlamore USDC Growth 金库——攻击者此前已在该金库中积累资产，并在操作过程中将其捐赠给了 Ark。”这一机制暴露了 DeFi 中常见的弱点。当金库报告的资产可以被扭曲（即使只是短暂扭曲）时，攻击者就能改变存款、份额与赎回之间的关系。闪贷进一步放大了这一风险，因为它允许攻击者在单笔交易中借入大量资本而无需长期持有资金。

投资者要点

Summer Finance 被攻击事件表明，收益优化的风险不仅来自于资金所部署的外部借贷协议。在闪贷大行其道的当下，内部记账逻辑、金库份额定价以及赎回控制都可能成为直接攻击面。

这对 DeFi 收益协议意味着什么？

该事件给那些将用户存款路由至多个平台的 DeFi 收益管理者带来了更大压力。它们的价值主张依赖于自动化、再平衡以及获取更高收益的机会。然而，每增加一个集成，都会扩大合约数量、资金流动规模以及必须在压力下保持稳定的记账假设。对于用户而言，主要问题在于金库份额如何定价以及赎回如何验证的透明度。如果协议依赖的内部资产计量方式会受到捐赠、临时余额、外部市场条件或受操纵的池状态的影响，那么名义收益率的重要性就远低于记账模型的安全性。对于竞争中的收益协议来说，此次攻击很可能会推动更严格的赎回限制、抗闪贷的记账机制以及对异常金库活动进行实时监控的需求。如果协议希望减少对单区块操纵攻击的敞口，那么内置延迟、速率限制以及更保守的资产估值规则可能会变得更加普遍。此次攻击也突显了自动化与控制之间的权衡。AI 管理员和自动化分配系统可以改善跨借贷市场的执行效率，但并不能取代严格的合约级安全措施。在 DeFi 中，自动化可以快速调动资金，但当记账假设失效时，它也会放大损失。

还有哪些问题尚未明确？

截至分析师报告发布时，Summer.fi 尚未在官方渠道确认此次攻击事件，根本原因也悬而未决。这留下了一系列未解问题：攻击是源于单一金库的特定弱点，还是更广泛的记账缺陷，抑或是 Summer.fi 合约与外部借贷基础设施之间的交互？这种不确定性对存款方和集成的协议来说至关重要。在根本原因得到确认之前，用户可能难以评估其余金库是否面临类似的操纵风险，抑或攻击仅局限于受影响的那条路径。此次攻击对市场的直接影响小于近期一些 DeFi 跨链桥和借贷平台的攻击事件，但其教训更为广泛。跨多个市场管理资产的收益协议，其安全性仅取决于它们的记账逻辑、赎回规则以及集成假设。600 万美元的损失对更广泛的 DeFi 市场而言是一个可控事件，但它清楚地提醒我们：自动化收益产品仍然暴露在复杂的智能合约风险之下。