El equipo del protocolo Summer.fi ha anunciado el cese de sus operaciones tras un ataque hacker de 6,04 millones de dólares. La interfaz de usuario permanecerá disponible hasta el 31 de agosto, y el destino futuro del protocolo será determinado por la DAO que lo gestiona.

«Hemos llegado a la conclusión de que no tenemos un camino viable hacia adelante, aparte de cesar nuestras actividades», declararon los desarrolladores. Esta decisión fue el resultado de que una parte significativa de los fondos propios del equipo se encontraba en las bóvedas afectadas, lo que privó al proyecto de reservas para su recuperación.

Summer.fi operó durante aproximadamente siete años. El equipo pasó dos años como parte de Maker Foundation, y en junio de 2021 se escindió como proyecto independiente. Durante este tiempo, más de 50 000 personas utilizaron los servicios de Oasis.app y Summer.fi. El valor total bloqueado del Lazy Summer Protocol alcanzó los 200 millones de dólares en los primeros nueve meses de funcionamiento, pero en el momento del ataque se había reducido a aproximadamente 22 millones de dólares, según datos de DefiLlama.

El 6 de julio, un atacante manipuló el valor neto de los activos de dos bóvedas de USDC del Lazy Summer Protocol en la red Ethereum y extrajo alrededor de 6,04 millones de dólares en una sola transacción atómica. La bóveda de menor riesgo perdió aproximadamente 5,64 millones de dólares, mientras que el producto de mayor riesgo perdió alrededor de 400 000 dólares.

Para el ataque se utilizaron tokens de la bóveda Silo Varlamore USDC Growth con una valoración obsoleta. Estos se depositaron en la estrategia Ark, que ya estaba siendo retirada de operación. El límite de depósito de Ark se había establecido en cero, pero la estrategia no se eliminó del conjunto activo FleetCommander. Por lo tanto, sus activos continuaron siendo considerados en el cálculo del valor neto de las participaciones de la bóveda.

La condición clave del ataque fue un proceso operativo incompleto: Ark ya se encontraba en la fase de desactivación, pero aún influía en el cálculo del valor de los activos. El equipo no identificó un error separado en el código de los contratos inteligentes. El atacante aprovechó esto para inflar artificialmente la valoración de los activos y obtener fondos líquidos reales de otras estrategias, incluyendo Morpho, Spark y Sky. Para llevar a cabo la operación, recurrió a préstamos flash por más de 65 millones de dólares.

Según el equipo, la preparación comenzó no más tarde del 6 de abril. Las carteras vinculadas al atacante acumularon gradualmente tokens Silo, que luego se utilizaron para la manipulación. Tras liquidar los préstamos flash, el atacante convirtió las ganancias en DAI. Posteriormente, envió una parte de los fondos a través de Tornado Cash utilizando una cartera intermediaria.

Tras el ataque, todas las bóvedas del Lazy Summer Protocol se suspendieron y los límites de depósito en los productos gestionados por la DAO se establecieron en cero. La organización está llevando a cabo los procedimientos necesarios para reanudar los retiros y liquidar las participaciones de todas las bóvedas, incluidas las dos afectadas. Una vez restauradas las funciones correspondientes, aparecerán en la interfaz de Summer.fi. El servicio de soporte y el Discord del proyecto continuarán funcionando hasta finales de agosto.

El fundador de Aave, Stani Kulechov, calificó a Summer.fi como uno de los pioneros de DeFi: «Esto demuestra lo altas que son las apuestas y los costos al crear un punto de acceso seguro y de calidad a DeFi. En siete años han pasado muchas cosas, y para el equipo ha sido un buen viaje».

El cierre de Summer.fi se produjo poco después de una decisión similar del servicio DeFi Zapper. El equipo explicó la decisión por las complejas condiciones del mercado y un modelo de negocio insostenible. Recordemos que en la primera mitad del año, los proyectos cripto perdieron alrededor de 972 millones de dólares como resultado de 207 incidentes.

Mi opinión experta: Este incidente es un claro ejemplo de cómo los fallos operativos, y no los errores en el código, pueden tener consecuencias catastróficas. Los proyectos deben implementar procesos más estrictos de gestión del ciclo de vida de las estrategias, especialmente al retirarlas de operación. De lo contrario, incluso una pequeña vulnerabilidad administrativa puede destruir años de trabajo y la confianza de la comunidad.