El equipo de Summer.fi ha anunciado el cese de sus operaciones tras un hackeo en el que se robaron $6,04 millones. La interfaz de usuario permanecerá disponible hasta el 31 de agosto, y el futuro del protocolo en sí será decidido por la organización autónoma descentralizada (DAO) que lo gestiona. Los desarrolladores reconocieron: «Hemos llegado a la conclusión de que no tenemos un camino viable hacia adelante más que cesar nuestras actividades».
El proyecto operó durante aproximadamente siete años, dos de ellos como parte de Maker Foundation, y desde junio de 2021 como plataforma independiente. Durante este tiempo, más de 50 000 usuarios utilizaron los servicios de Oasis.app y Summer.fi. En su punto máximo, el valor total bloqueado de Lazy Summer Protocol alcanzó los $200 millones, pero en el momento del ataque esta cifra se había reducido a aproximadamente $22 millones, según datos de DefiLlama.
Detalles del ataque: manipulación con activos obsoletos
El 6 de julio, un atacante manipuló el valor neto de los activos de dos bóvedas de USDC de Lazy Summer Protocol en la red Ethereum, extrayendo alrededor de $6,04 millones en una sola transacción atómica. La bóveda de bajo riesgo perdió $5,64 millones, y el producto de mayor riesgo, $400 000. El ataque fue posible debido al uso de tokens de la bóveda Silo Varlamore USDC Growth con una valoración obsoleta. Estos se introdujeron en la estrategia Ark, que ya estaba siendo retirada. El límite de depósito de Ark se había establecido en cero, pero la estrategia no se eliminó del conjunto activo de FleetCommander, por lo que sus activos continuaron afectando el cálculo del valor neto de las participaciones.
El factor clave fue una operación incompleta: Ark ya estaba en fase de desactivación, pero aún se consideraba en los cálculos. El equipo no identificó un error separado en el código de los contratos inteligentes. El atacante aumentó artificialmente la valoración de los activos para obtener fondos líquidos reales de otras estrategias, incluyendo Morpho, Spark y Sky. Para ello, recurrió a préstamos flash por un total de más de $65 millones.
Preparación y consecuencias
Según el equipo, la preparación del ataque comenzó no más tarde del 6 de abril. Las carteras vinculadas al atacante acumularon gradualmente tokens Silo, que luego se utilizaron para la manipulación. Tras liquidar los préstamos flash, el atacante convirtió las ganancias en DAI y envió parte de los fondos a través de Tornado Cash mediante una cartera intermediaria. Los desarrolladores señalaron que una parte significativa de sus propios fondos se encontraba en las bóvedas afectadas, lo que privó al proyecto de reservas para la recuperación y la continuación de sus actividades.
Tras el ataque, todas las bóvedas de Lazy Summer Protocol fueron suspendidas, y los límites de depósito en los productos gestionados por la DAO se establecieron en cero. La organización está llevando a cabo procedimientos para reanudar los retiros y liquidar las participaciones. Una vez restauradas las funciones, aparecerán en la interfaz de Summer.fi, y el servicio de soporte y el Discord del proyecto continuarán funcionando hasta finales de agosto.
El fundador de Aave, Stani Kulechov, calificó a Summer.fi como uno de los pioneros de DeFi, señalando: «Esto demuestra lo altas que son las apuestas y los costos al crear un punto de acceso de calidad y seguro a DeFi». El cierre de Summer.fi se produjo poco después de una decisión similar del servicio DeFi Zapper, cuyo equipo explicó su salida por las difíciles condiciones del mercado.
Mi análisis: Este caso es un claro ejemplo de cómo los fallos operativos, y no solo las vulnerabilidades en el código, pueden tener consecuencias catastróficas. La incapacidad de eliminar a tiempo una estrategia obsoleta del conjunto activo es un grave error en la gestión de riesgos que le costó el proyecto. El mercado DeFi se está volviendo cada vez más maduro, pero incidentes como este recuerdan que incluso los equipos experimentados no están exentos del factor humano. En la primera mitad del año, los proyectos cripto perdieron alrededor de $972 millones en 207 incidentes, según datos de Immunefi, y este hackeo solo confirma la necesidad de auditorías rigurosas de los procesos operativos.