Points clés à retenir :
Le protocole de finance décentralisée Summer.fi a perdu environ 6 millions de dollars après qu'un attaquant a exploité une vulnérabilité de flash loan dans ses coffres de rendement automatisés Lazy Summer sur Ethereum, incitant les gardiens du protocole à suspendre tous les coffres affectés.
L'exploitation a d'abord été signalée par la société de sécurité blockchain Blockaid tôt lundi, CertiK et PeckShield confirmant ensuite l'attaque. CertiK a indiqué que l'attaquant a utilisé un flash loan de 65,4 millions de dollars provenant de Morpho pour manipuler la logique comptable de FleetCommander, le contrat intelligent gérant les opérations des coffres, lui permettant ainsi de gonfler le total des actifs et de racheter 70,9 millions de dollars en une seule transaction atomique.
« L'attaquant a manipulé la comptabilisation des totalAssets par FleetCommander dans plusieurs coffres, en particulier Silo : Varlamore USDC Growth, que l'attaquant avait accumulé au préalable et donné à l'Ark entre-temps », a écrit CertiK sur X. L'exploitation ciblait un coffre tokenisé ERC-4626 connu sous le nom de LazyVault_LowerRisk_USDC, exploitant une vulnérabilité connue d'inflation des parts via des dons de tokens. Les fonds volés ont été échangés contre des DAI sur Curve et transférés vers le portefeuille de l'attaquant, identifié sur la chaîne comme 0x7BF…3BDCa.
Summer.fi a confirmé l'incident et a déclaré que les gardiens du protocole avaient suspendu les coffres affectés pour éviter des pertes supplémentaires. Le protocole détenait 22 millions de dollars de valeur totale verrouillée avant l'exploitation, selon les données de DefiLlama. Son token de gouvernance SUMR a chuté de plus de 18 % après la divulgation de l'attaque. L'incident s'ajoute à un nombre croissant d'attaques par flash loan ciblant les agrégateurs de rendement DeFi, où le rééquilibrage automatisé sur des marchés de prêt tels qu'Aave et Morpho crée des surfaces comptables complexes pouvant être déformées au sein d'un seul bloc de transaction.
Cet article est fourni à titre d'information uniquement et ne constitue pas un conseil en investissement.
