El 6 de julio, el protocolo DeFi Summer.fi, que opera sobre la base de Lazy Summer Protocol, fue víctima de un complejo ataque de hackers. El equipo del proyecto confirmó rápidamente el incidente, suspendiendo la operación de todas las bóvedas (Vaults) para contener el daño. Hasta el momento, los desarrolladores se abstienen de revelar la cantidad exacta y los detalles técnicos, sin embargo, los datos del análisis on-chain ya arrojan luz sobre el mecanismo del ataque.
Según el análisis de Cyvers, el atacante explotó una vulnerabilidad en el mecanismo de contabilización de las participaciones de activos, lo que le permitió manipular los precios. Tras una explotación exitosa, el hacker convirtió los $6 millones robados en stablecoins DAI y los transfirió a su propia billetera. El elemento clave del ataque fue un flash loan de $65,4 millones, que infló temporalmente el volumen de liquidez en el protocolo, permitiendo al atacante iniciar un retiro de fondos por aproximadamente $70,9 millones. La ganancia neta del hacker fue de alrededor de $6 millones.
Raíz del problema: distorsión de totalAssets()
Los especialistas de CertiK detallaron el vector del ataque. El problema radica en los contratos inteligentes FleetCommander, que gestionan las bóvedas de activos. El atacante manipuló el indicador totalAssets(), un parámetro clave que determina el valor total de los depósitos. Un papel adicional lo desempeñó el contrato Ark, que conecta Summer.fi con protocolos de préstamo externos. El hacker acumuló previamente ciertos activos, en particular en la bóveda Silo: Varlamore USDC Growth, y luego, utilizando una donación en el contrato Ark, distorsionó el cálculo de totalAssets(), lo que le permitió retirar significativamente más fondos de los que había depositado.
Este incidente es un recordatorio más de que incluso los protocolos DeFi consolidados no están exentos de ataques dirigidos a sus mecanismos internos de contabilidad. Las pérdidas por hackeos en junio se redujeron a $75,9 millones (40 incidentes), y Humanity Protocol perdió $31 millones. Sin embargo, el segundo trimestre de 2026 estableció un récord negativo en cuanto al número de exploits: 83 casos. En mi opinión, las vulnerabilidades en los sistemas de contabilización de participaciones y las manipulaciones con flash loans se están convirtiendo en una nueva tendencia. Los protocolos no solo necesitan probar los contratos inteligentes, sino implementar sistemas de monitoreo dinámicos capaces de detectar anomalías en los cálculos de totalAssets() en tiempo real. De lo contrario, corremos el riesgo de ver la repetición de escenarios similares en los próximos meses.