DeFi getiri optimizasyon protokolü Summer Finance, otomatik kasa yönetim sistemindeki bir muhasebe açığı üzerinden 6 milyon dolarlık bir saldırıya uğradı. Saldırgan, 65,4 milyon dolarlık bir flaş kredi kullanarak Fleet Commander'ın varlık hesaplamasını manipüle etti ve 70,9 milyon dolarlık bir geri ödeme elde etti. Protokol olayı henüz resmi olarak doğrulamadı.
Summer Finance’e saldırı
DeFi getiri optimizasyon protokolü Summer Finance, zincir üstü analistlere göre 6 milyon dolarlık bir saldırıya uğradı. Blockaid, ihlali pazartesi sabahı erken saatlerde tespit etti. Ardından Cyvers ve CertiK gibi güvenlik firmaları da olayın teknik detaylarını paylaştı.
Summer.fi olarak da bilinen protokol, kullanıcı yatırımlarını yüksek getirili çeşitli borç verme platformları arasında yapay zeka destekli keeper'lar aracılığıyla otomatik olarak dağıtıp yeniden dengeleyen bir sistem. Bu tür otomatik yield stratejileri DeFi'de son dönemde popülerleşse de, birden fazla protokolü birbirine bağlayan karmaşık kontrat yapıları saldırganlar için de yeni açık noktaları anlamına geliyor.
Saldırı nasıl gerçekleşti?
Cyvers'a göre saldırgan, fiyat manipülasyonu yoluyla bir pay muhasebesi açığını hedef aldı. Çalınan 6 milyon dolar DAI stablecoin'ine çevrildi ve saldırganın kontrolündeki bir adrese aktarıldı. Bu tarz saldırılarda fonların hızla stablecoine dönüştürülüp taşınması, izlemeyi zorlaştırmak için sıkça kullanılan bir yöntem.
CertiK'in paylaştığı detaylar, saldırının nasıl kurgulandığını daha net gösteriyor. Saldırgan, 65,4 milyon dolarlık bir flaş kredi kullandı ve bu krediyle Summer.fi'nin Lazy Summer Protokolü'nün kasalardaki toplam varlıkları nasıl hesapladığını manipüle etti. Sonuçta 70,9 milyon dolarlık bir geri ödeme elde etmeyi başardı, yani sisteme koyduğundan çok daha fazlasını çekti.
CertiK'in aktardığına göre saldırgan, önceden biriktirdiği ve arada Ark'a bağışladığı Silo: Varlamore USDC Growth kasası başta olmak üzere, birçok kasada Fleet Commander'ın totalAssets() fonksiyonunun hesaplamasını manipüle etti. Bu sayede 64,8 milyon dolarlık bir yatırımın ardından 70,9 milyon dolar çekmeyi başardı. Fleet Commander, kasaları yöneten akıllı kontrat; Ark ise bir kasayı bir borç verme protokolüne bağlayan kontrat olarak tanımlanıyor.
Flaş kredi mekanizması neden işe yaradı
Flaş krediler, aynı işlem (transaction) içinde alınıp geri ödenmesi koşuluyla teminatsız şekilde milyonlarca dolarlık likidite sağlıyor. Bu da saldırganların büyük sermayeye sahip olmadan bir protokolün fiyatlama veya muhasebe mantığını geçici olarak bozabilmesine imkan tanıyor. Bu olayda saldırgan, Fleet Commander'ın kasa başına toplam varlık hesaplamasını, gerçek zamanlı bir bağışla birlikte manipüle ederek sistemin gerçekte olduğundan daha fazla varlığı barındırdığını düşünmesini sağlamış görünüyor. Böylece normalde mümkün olmayan bir tutarda geri ödeme talep edebildi.
Bu tür share accounting açıkları DeFi'de yeni değil. Vault tabanlı protokollerde toplam varlık hesaplaması genellikle dışarıdan manipüle edilebilecek fiyat beslemelerine veya bakiye kontrollerine dayanıyor, bu da saldırganlara benzer senaryolarda tekrar tekrar fırsat sunuyor.
