El equipo del protocolo Summer.fi tomó una decisión difícil pero inevitable: después de siete años de trabajo en DeFi, el proyecto cesa sus operaciones. La razón es el hackeo de julio, en el que un atacante sustrajo $6,04 millones. La interfaz de usuario (UI) permanecerá accesible hasta el 31 de agosto, pero el destino futuro del protocolo recae ahora en la organización autónoma descentralizada (DAO) que lo gestiona.

Los desarrolladores admitieron honestamente: no quedaba un camino viable hacia adelante más que cerrar el proyecto. Las pérdidas financieras no fueron solo un golpe: privaron por completo al equipo de las reservas necesarias para restaurar la infraestructura y continuar el trabajo. Una parte significativa de los fondos personales de los empleados se encontraba en las bóvedas afectadas.

Una historia de éxito truncada por un hackeo

Summer.fi (anteriormente conocido como Oasis.app) recorrió un largo camino. El equipo pasó dos años como parte de Maker Foundation y, desde junio de 2021, se desarrolló como un proyecto independiente. Durante este tiempo, más de 50 000 personas utilizaron los servicios. En los primeros nueve meses de funcionamiento, Lazy Summer Protocol (el protocolo base de Summer.fi) acumuló $200 millones en valor total bloqueado (TVL). Sin embargo, en el momento del ataque, esta cifra se había reducido a $22 millones, lo que ya indicaba una disminución de la actividad.

Detalles técnicos del ataque

El incidente ocurrió el 6 de julio. El atacante manipuló artificialmente el valor neto de los activos (NAV) de dos bóvedas de USDC de Lazy Summer Protocol en la red Ethereum. Utilizando una sola transacción atómica, extrajo los fondos: la bóveda de bajo riesgo perdió $5,64 millones, y el producto de mayor riesgo, $400 000.

La vulnerabilidad clave fue un error en el proceso operativo, no en el código de los contratos inteligentes. Para el ataque se utilizaron tokens de la bóveda Silo Varlamore USDC Growth con una valoración obsoleta. Estos se depositaron en la estrategia Ark, que ya estaba siendo retirada. El límite de depósito de Ark se había establecido en cero, pero la estrategia no se eliminó del conjunto activo de FleetCommander. Como resultado, sus activos seguían contabilizándose en el cálculo del NAV, aunque en la práctica eran «lastre muerto».

El atacante aprovechó esta brecha para inflar artificialmente la valoración de los activos y canjearlos por fondos líquidos reales de otras estrategias (Morpho, Spark, Sky). Para realizar la operación, obtuvo préstamos flash por más de $65 millones. Según el equipo, la preparación del ataque comenzó no más tarde del 6 de abril: las carteras vinculadas al hacker acumularon gradualmente tokens Silo para la posterior manipulación. Tras pagar los préstamos, el atacante convirtió las ganancias en DAI y blanqueó parte de los fondos a través de Tornado Cash.

Consecuencias y futuro

Tras el ataque, todas las bóvedas de Lazy Summer Protocol se suspendieron y los límites de depósito en los productos gestionados por la DAO se establecieron en cero. Actualmente, la organización está llevando a cabo los procedimientos necesarios para reanudar los retiros. Una vez que las funciones se restauren, aparecerán en la interfaz de Summer.fi. El servicio de soporte y el canal de Discord seguirán funcionando hasta finales de agosto.

El cierre de Summer.fi no es solo la historia de un proyecto. Es un síntoma de la crisis en la industria, donde incluso los veteranos no están exentos de errores fatales en los procesos operativos. Como señaló el fundador de Aave, Stani Kulechov, Summer.fi fue uno de los pioneros de DeFi. Su desaparición muestra lo altas que son las apuestas y los costos al crear un punto de acceso de calidad y seguro a las finanzas descentralizadas. Recordemos que en el primer semestre de 2026, los proyectos cripto perdieron alrededor de $972 millones como resultado de 207 incidentes, según Immunefi. Y esto es solo la punta del iceberg.

Mi opinión profesional: El hackeo de Summer.fi es un ejemplo clásico de cómo el «factor humano» y los procedimientos incompletos pueden costar un proyecto. La ausencia de un error en el código de los contratos inteligentes no hace que el ataque sea menos destructivo. Es un duro recordatorio para toda la industria: la seguridad no es solo código, sino también procesos operativos impecables. Si desactivas una estrategia, hazlo de forma limpia; de lo contrario, corres el riesgo de perderlo todo.