El 6 de julio, el protocolo DeFi Summer.fi fue víctima de un ataque dirigido. El equipo del proyecto confirmó rápidamente el incidente y suspendió la operación de todas las bóvedas (Vaults) en el marco del Lazy Summer Protocol para evitar daños mayores.
Inicialmente no se reveló la cantidad exacta del daño, pero los datos del análisis on-chain arrojaron luz sobre el mecanismo del ataque. Según estimaciones de Cyvers, el atacante explotó una vulnerabilidad crítica en el mecanismo de contabilidad de participaciones de activos. Utilizando manipulaciones de precios, el hacker logró distorsionar los saldos y retirar fondos. Posteriormente, los $6 millones robados se convirtieron en la stablecoin DAI y se enviaron a la billetera personal del atacante.
Flash loan y manipulación de totalAssets()
Los expertos de CertiK proporcionaron una imagen más detallada. El atacante utilizó un flash loan de $65,4 millones para inyectar temporalmente liquidez al protocolo. Esto le permitió iniciar un retiro de fondos por aproximadamente $70,9 millones, de los cuales la ganancia neta del hacker fue de unos $6 millones.
La vulnerabilidad clave se encontró en los contratos inteligentes FleetCommander, que gestionan la distribución de los depósitos de los usuarios entre diferentes plataformas de préstamo. El ataque afectó a la función totalAssets(), que mide el volumen total de activos en las bóvedas. La manipulación de este valor, combinada con las características del contrato Ark (el enlace con servicios de préstamo externos), permitió al hacker obtener una participación desproporcionadamente grande al retirar fondos.
Cabe destacar que el atacante acumuló posiciones previamente en una bóveda específica (Silo: Varlamore USDC Growth) y utilizó el mecanismo de donación (donation) a través de Ark para agravar el desequilibrio.
Contexto del mercado y conclusiones
Este incidente ocurrió en un contexto de relativa disminución de la actividad de los hackers en junio, cuando el daño total por criptohacks fue de $75,9 millones en 40 ataques registrados. Sin embargo, el segundo trimestre del año actual estableció un récord negativo en cuanto al número de exploits: 83 casos, la cifra más alta en la historia de las observaciones.
Mi opinión profesional: El hackeo de Summer.fi es un ejemplo clásico de ataque basado en la manipulación de oráculos y la contabilidad interna del protocolo. Incidentes como este subrayan la importancia crítica de auditar no solo contratos inteligentes individuales, sino también toda la lógica de interacción entre ellos, especialmente en protocolos de agregación complejos, donde el más mínimo error en el cálculo de participaciones puede provocar pérdidas multimillonarias. El mercado necesita urgentemente métodos más avanzados de simulación de ataques antes de implementar código en la red principal.