Summer.fi suspend ses coffres après un exploit flash loan de 6M$

Le protocole de finance décentralisée Summer.fi a suspendu ses coffres Lazy Summer après qu'un exploit a drainé environ 6 millions de dollars de la plateforme de rendement basée sur Ethereum. Le protocole détenait environ 22 millions de dollars en valeur totale verrouillée avant l'attaque, selon DeFiLlama, ce qui signifie que la perte représente près d'un tiers de l'ensemble des actifs déposés.

L'attaquant a utilisé un important flash loan, apparemment obtenu via Morpho, pour manipuler la logique comptable des coffres USDC automatisés de Lazy Summer. En gonflant les actifs totaux déclarés, l'exploiteur a pu racheter sur la base de ce chiffre gonflé et en tirer un profit net. Les fonds volés ont été convertis en DAI sur Curve avant d'être transférés vers le portefeuille de l'attaquant, selon une analyse on-chain.

La société de sécurité blockchain Blockaid a la première signalé l'activité suspecte, suivie par PeckShield et CertiK qui ont également rapporté l'incident. Summer.fi a confirmé l'enquête et indiqué que les guardians du protocole avaient suspendu les coffres affectés pour stopper les pertes. Le chercheur DeFi Bhari a relié la faille à un défaut de code ayant permis la réussite de la surcharge comptable.

Pourquoi c'est important

Lazy Summer est un routeur de rendement automatisé qui place les fonds des utilisateurs sur plusieurs marchés de prêt, notamment Aave et Morpho, en rééquilibrant les positions pour le compte des déposants afin de追求er des rendements plus élevés. Un exploit par flash loan qui s'attaque à la logique comptable plutôt qu'à la manipulation directe d'un oracle de prix fait partie des modes de défaillance les plus difficiles à modéliser, car il faut que le capital de l'attaquant soit transitoire tout en maintenant l'état gonflé suffisamment longtemps pour permettre le rachat. Le fait que le protocole ait porté 22 M$ de TVL jusqu'à une faille de cette nature pèsera sur l'ensemble de la catégorie des agrégateurs de rendement, où les déposants souscrivent en grande majorité du code qu'ils ne lisent pas.

Impact sur le marché

Le token SUMR de Summer.fi a chuté de plus de 18 % après la révélation de l'exploit, intégrant l'impact immédiat sur la réputation et la trésorerie. Des incidents comparables sur des routeurs de rendement, dont le piratage d'Euler Finance en 2023 et les approbations liées au phishing de 2024 sur plusieurs agrégateurs, ont été suivis de plusieurs semaines de pression de retrait et d'une reprise partielle une fois les post-mortems et plans de remédiation rendus publics.

Glossaire