Summer.fi ghi nhận khoảng 6 triệu USD bị rút khỏi Lazy Summer Protocol sau một vụ khai thác liên quan đến vault USDC với APY hiển thị từng vọt lên hơn 2 triệu percent.
Vụ việc làm nổi bật rủi ro của các vault theo chuẩn ERC-4626 và cho thấy những sai lệch trong cơ chế tính giá trị phần chia có thể bị khai thác nhanh như thế nào. Hiện đội ngũ đang tạm dừng toàn bộ vault của Lazy Summer Protocol để điều tra.
- Khoảng 6 triệu USD đã bị rút khỏi một vault USDC của Lazy Summer Protocol.
- APY hiển thị của LVUSDC từng tăng lên khoảng 2,08 triệu percent trước vụ khai thác.
- Summer.fi đã tạm dừng các vault trong Lazy Summer Protocol để kiểm tra nguyên nhân.
Khoản thiệt hại tập trung vào một vault USDC
Vụ khai thác nhắm vào LazyVault_LowerRisk_USDC, còn gọi là LVUSDC. Dữ liệu hiện có cho thấy đây là một vault riêng lẻ trong Lazy Summer Protocol, thay vì toàn bộ hệ thống.
PeckShieldAlert cho biết APY hiển thị của LVUSDC từng tăng vọt lên khoảng 2,08 triệu percent. Cùng thời điểm đó, Blockaid xác định khoảng 6 triệu USD đã bị rút ra trong lúc giao dịch vẫn đang diễn ra.
Cách tấn công được mô tả là inflation attack trên ERC-4626
Vụ việc được mô tả là một cuộc tấn công “donation-based inflation” nhắm vào vault theo chuẩn ERC-4626. Cơ chế này liên quan đến việc thay đổi tỷ lệ giữa tài sản trong vault và số share đang lưu hành.
Theo mô tả kỹ thuật, nếu kẻ tấn công gửi trực tiếp một lượng token nhỏ vào vault, tỷ lệ định giá share có thể bị lệch khỏi mức hợp lý. Khi đó, việc rút hoặc quy đổi có thể tạo ra chênh lệch có lợi cho kẻ tấn công.
Giao dịch được cho là sử dụng flash loan từ Morpho và được luân chuyển qua Uniswap, Curve và Balancer. Flash loan là khoản vay được vay và hoàn trả trong cùng một giao dịch.
Tác động với Summer.fi và Lazy Summer Protocol
Khoản rút khoảng 6 triệu USD không phải là vụ hack lớn nhất trong lịch sử crypto, nhưng có ý nghĩa đáng kể so với quy mô của Summer.fi. DefiLlama ghi nhận nền tảng này có khoảng 34,8 triệu USD tổng giá trị khóa và hơn 32,4 triệu USD nằm trên Ethereum.
Số tiền bị rút tương đương gần một phần năm tài sản của nền tảng theo mức TVL được nêu, nên tác động là đáng kể. Summer.fi hiện nói rằng đội ngũ đang điều tra nguyên nhân gốc rễ và protocol guardians đã tạm dừng toàn bộ vault của Lazy Summer Protocol.
Những gì thị trường cần theo dõi tiếp theo
Điểm cần theo dõi là nguyên nhân kỹ thuật cụ thể, phạm vi ảnh hưởng của các vault liên quan và cách Summer.fi xử lý sau khi điều tra xong. Chưa có thêm chi tiết về việc tài sản người dùng có bị ảnh hưởng ở mức nào ngoài vault bị nêu.
Vụ việc cũng nhắc lại rằng các lỗi về share price, accounting manipulation và thiết kế vault vẫn là rủi ro thực tế trong DeFi, bên cạnh bridge exploit và đánh cắp khóa quản trị.
Tổng kết
Summer.fi đang xử lý một vụ khai thác khoảng 6 triệu USD nhắm vào Lazy Summer Protocol, với trọng tâm là vault LVUSDC và cơ chế định giá share của ERC-4626. Hiện protocol đã tạm dừng các vault để điều tra và chưa công bố kết luận cuối cùng.
