Serangan ke Lazy Summer Protocol Summer.fi Manfaatkan Mekanisme NAV, Bukan Celah Kontrak Pintar
Ringkasan Pasar AI
Vault USDC Lazy Summer Protocol milik Summer.fi kehilangan sekitar $6,04 juta setelah seorang penyerang memanipulasi NAV dan penetapan harga saham melalui sebuah Ark yang dijeda namun tidak dihapus, di mana asetnya masih ikut dihitung dalam NAV. Meski bukan bug smart contract, insiden ini menyoroti celah operasional dan kontrol risiko dalam penonaktifan vault serta input penetapan harga. Semua vault onchain dijeda dan batas setoran ditetapkan ke nol, sehingga menciptakan ketidakpastian dalam jangka dekat terkait penarikan dana pengguna dan potensi kompensasi.
Level dampak
● Sedang
Aset terdampak
US/USDT+3.01%
Wawasan AI · US/USDTWawasan AI
▼ Bearish
Trade sekarang
⚠️ Wawasan yang dihasilkan AI didasarkan pada konten berita dan disediakan untuk tujuan informasi saja. Wawasan ini bukan nasihat investasi dan tidak mencerminkan pandangan BingX. Investasi melibatkan risiko. Harap trade secara bertanggung jawab.
ChainCatcher melaporkan, Summer.fi merilis analisis terkait serangan pada vault USDC milik Lazy Summer Protocol. Pelaku memanipulasi harga unit penyertaan (share) pada dua vault USDC dalam satu transaksi atomik, lalu menarik sekitar US$6,04 juta dana deposan.
Inti serangan berada pada metode perhitungan net asset value (NAV) vault. Pelaku menyumbangkan token dengan valuasi yang sudah kedaluwarsa ke Silo Ark yang sempat dihentikan sejak insiden November 2025, tetapi belum sepenuhnya dihapus. Langkah ini membuat total aset vault terangkat secara artifisial sekitar 9,5% sehingga harga share ikut meningkat. Setelah itu pelaku menebus share pada harga yang sudah terdongkrak dan menarik dana dari likuiditas riil vault.
Laporan menegaskan insiden ini bukan akibat kerentanan smart contract, melainkan celah pada proses penonaktifan vault: batas deposit Ark memang sudah disetel ke nol, tetapi asetnya masih tetap dihitung dalam kalkulasi NAV. Summer.fi menyebut pelaku menyiapkan aksi ini sejak tiga bulan sebelumnya dengan mengumpulkan token yang diperlukan melalui beberapa dompet, serta mencuci sebagian hasil melalui Tornado Cash.
Pasca insiden, Guardian Multisig menghentikan sementara seluruh vault onchain dan menetapkan batas deposit masing-masing menjadi nol. Lazy Summer DAO akan membahas rencana kompensasi bagi pengguna terdampak serta usulan pemulihan vault dalam beberapa hari ke depan.
