Инцидент с автоматизированным хранилищем Summer.fi вновь оказал давление на делегированную доходность DeFi после того, как 6 июля компания Blockaid сообщила, что ее система обнаружения эксплойтов выявила продолжающуюся атаку и оценила, что на момент оповещения было выведено около 6 миллионов долларов.
В последующем сообщении фирма по безопасности связала транзакцию эксплойта, адрес эксплойтера, контракт эксплойта и затронутые контракты Summer.fi и Lazy Summer.
Транзакция в Etherscan показывает успешную транзакцию в сети Ethereum в 05:17:59 UTC 6 июля.
Позднее Summer.fi сообщила, что осведомлена о заявленном эксплойте, расследует коренную причину, и что хранители протокола приостанавливают работу всех хранилищ в рамках Lazy Summer Protocol.
Окончательная сумма потерь и причина остаются неясными до тех пор, пока Summer.fi не опубликует более полный обзор инцидента.
Граница хранилища, которую пользователи редко видят
Эксплойт превращает обещание продукта в вопрос дизайна. Документация Summer.fi описывает Lazy Summer как протокол «установил и забыл», построенный на базе Lazy Vaults, автоматической ребалансировки и упрощенного доступа к DeFi.
Эта простота опирается на несколько ролей контрактов. В документации Summer.fi Lazy Vaults, также известные как Fleets, описываются как скоординированные контрактные системы, включающие Fleet Commander, ARKs и RAFT.
Fleet Commander управляет депозитами, снятиями и распределением; ARKs реализуют стратегии доходности; RAFT собирает и капитализирует вознаграждения.
Ребалансировщик протокола добавляет еще один уровень доверия. Summer.fi заявляет, что Keeper AI Agents могут перераспределять активы между ARKs в пределах ограничений, установленных через FleetCommander и управление (governance), включая лимиты на объем перемещаемых средств и частоту.
Эта многоуровневая структура создала границу, которую выявил эксплойт.
Депозитарий доверяет корректной работе учета долей, контрактных стратегий, исполнения Keeper, лимитов управления и аварийных механизмов, пока капитал перемещается без ручного одобрения от каждого пользователя.
Автоматизация переносит риск пользователя на системы, созданные для мониторинга, ребалансировки и выбора стратегий от имени пользователя.
В документации Summer.fi упоминаются аудиты и баг-баунти на Immunefi, которые остаются важными элементами стека безопасности. Инцидент все же показывает, почему доверяющие лица должны иметь возможность считывать информацию о живом учете, распределении и предположениях о приостановке работы по мере перемещения капитала.
Недавний анализ CryptoSlate показал, что убытки от известных взломов DeFi достигли 780,3 миллиона долларов во втором квартале, превращая риск эксплойта в издержки, которые пользователи должны закладывать в доходность.
Инцидент с Summer.fi — это более явная версия этой проблемы: чем более невидимой становится машина доходности, тем важнее для протоколов показывать, где заканчивается автоматизация и начинается подверженность пользователя риску.
Следующий сигнал — постмортем Summer.fi. Локализованный сбой сделает инцидент тестом аварийных механизмов. Более глубокая проблема в учете хранилищ, разрешениях или перемещении стратегий повлечет за собой более широкое предупреждение для дизайна автоматизированных хранилищ.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Liam 'Akiba' Wright
