Sinabi ng Blockaid na natukoy ng kanilang sistema ng pagtukoy ng exploit ang isang aktibong pag-atake sa Summer.fi, isang DeFi yield aggregation at awtomatikong platform ng pamamahala ng vault. Sinabi ng security firm na humigit-kumulang $6 milyon ang naubos sa oras ng kanilang alerto.
Nag-post ang Blockaid, "~$6M naubos na," habang tinatag ang Summer.fi sa kanilang babala. Hindi nagbigay ng kumpletong teknikal na dahilan ang alerto, at hindi pa naglalabas ang Summer.fi ng kumpletong pampublikong post-mortem sa oras ng ulat.
Nagbibigay ang Summer.fi ng mga tool sa vault ng DeFi na tumutulong sa mga user na pamahalaan ang mga estratehiya sa ani sa pamamagitan ng mga awtomatikong sistema. Inilalarawan ng mga pampublikong materyales nito ang Lazy Summer Protocol bilang isang paraan upang ma-access ang ani ng DeFi sa pamamagitan ng awtomasyon at pag-curate ng panganib.
Nag-aalok din ang platform ng imprastraktura ng institutional vault. Sinasabi ng Summer.fi na pinapayagan ng mga self-managed na vault nito ang mga entity na panatilihin ang kontrol ng mga pribadong key habang ina-access ang DeFi at mga merkado ng ani ng real-world asset.
Ang naiulat na exploit sa Summer.fi ay muling nagbigay-pansin sa mga awtomatikong sistema ng vault sa merkado. Kadalasang iniruruta ng mga platform ng ani ang mga pondo ng user sa ilang lending, staking, at liquidity protocol upang mapabuti ang mga kita.
Ang istrukturang iyon ay maaaring makabawas sa manu-manong trabaho para sa mga user, ngunit lumilikha din ito ng mas maraming gumagalaw na bahagi. Lahat ng smart contract, pahintulot ng vault, keepers, setting ng panganib, at panlabas na integrasyon ay nangangailangan ng masusing pagsusuri.
Kamakailan ay sinakop ng Crypto.news ang isang alerto sa exploit ng smart contract ng Blockaid na may kaugnayan sa FOX Colony ng ShapeShift sa Arbitrum. Ipinakita ng kasong iyon kung paano matutukoy ng mga security firm ang aktibong pagkaubos bago maging available ang isang kumpletong teknikal na ulat.
Iniulat din ng Blockaid ang isang $3 milyong exploit ng SquidRouterModule sa 86 Gnosis Safes noong Mayo. Sa kasong iyon, ang mga ninakaw na token ay ipinagpalit sa DAI sa pamamagitan ng mga Uniswap V3 pool na kontrolado ng attacker.
Ang naiulat na $6 milyong pagkalugi ng Summer.fi ay kasunod ng ilang insidente sa seguridad ng DeFi nitong mga nakaraang buwan. Iniulat ng Crypto.news na naharap ang Stake DAO sa isang aktibong exploit matapos ang isang attacker ay mag-mint ng higit sa 5.4 trilyong vsdCRV at nagsimulang magpalit ng pondo para sa ETH.
Ang isa pang kamakailang kaso ay kinasangkutan ng Token of Power. Iniulat ng Crypto.news na ang isang exploit sa Token of Power ay umubos ng $1.58 milyon mula sa isang Balancer V1 pool, habang inilarawan ng Blockaid ang insidente bilang isang pag-atake sa pagkuha ng pamamahala.
Malalaking pagkalugi ng protocol ang bumigat din sa DeFi ngayong taon. Iniulat ng Crypto.news na binura ng mga exploit sa DeFi noong Abril ang humigit-kumulang $13 bilyon sa TVL, binabanggit ang datos ng Binance Research. Sinabi ng ulat na binawasan ng aktibidad ng exploit ang nakakandadong kapital sa mga on-chain na protocol. Sinabi rin nito na tumaas ang on-chain na leverage habang mas mabilis bumaba ang kabuuang halaga na naka-lock kaysa sa pangungutang.
Ang pangunahing bukas na tanong ay kung paano nagsimula ang exploit sa Summer.fi. Kinumpirma ng alerto ng Blockaid ang aktibidad ng aktibong pagkaubos, ngunit ang ugat na dahilan ay nangangailangan pa rin ng teknikal na ulat mula sa Summer.fi o mga mananaliksik ng seguridad.
Susubaybayan din ng mga user kung maaaring ma-freeze, masubaybayan, o mabawi ang anumang pondo. Nakadepende ang pagbawi sa kung saan lumipat ang mga ninakaw na asset, kung aling mga network ang kasangkot, at kung tumatanggap ang mga sentralisadong serbisyo ng anuman sa mga pondo.
Ang pag-atake ay dumating sa isang sensitibong panahon para sa mga platform ng vault ng DeFi. Ang modelo ng Summer.fi ay nakasalalay sa tiwala sa awtomasyon, disenyo ng kontrata, at kontrol sa panganib. Kailangang ipaliwanag ng isang pampublikong ulat kung ano ang nabigo at kung anong mga hakbang ang gagawin upang protektahan ang mga user.
