Summer.fi 发布了关于 604 万美元漏洞的详细事后分析，该漏洞耗尽了其两个 Lazy Summer Protocol USDC 金库。结论是，这次攻击是提前几个月计划好的，而不是一次机会主义的闪贷攻击。
报告称，攻击者花了大约三个月的时间积累操纵协议所需的资产。该漏洞利用于 7 月 6 日在单个原子事务中执行。
它还认为根本原因是旧策略退出期间的操作问题，而不是协议智能合约中的缺陷。
利用不完整的卸载过程进行攻击
根据事后分析，攻击者操纵了两个 USDC 金库的资产净值 [NAV]。价值陈旧的 Silo 金库代币被捐赠到在下架过程中已封顶的方舟中。然而，方舟仍然包含在金库的资产净值计算中。
这人为地抬高了金库的股价，使攻击者能够以虚高的价格赎回股票。随后，攻击者从协议的流动头寸中提取了约 $604 万美元的 USDC。
损失由低风险 USDC Vault 承担，损失约 564 万美元，高风险 USDC Vault 损失约 40 万美元。
Summer.fi 强调，该漏洞不是由私钥泄露、管理权限或编码错误引起的。相反，它表示受影响的合同符合设计。
尽管如此，在存款上限设置为零后，受损的方舟仍然活跃在金库的会计中。
在漏洞利用前几个月就开始准备
该报告还挑战了早期的说法，即该漏洞只是一次闪贷攻击。
Summer.fi 表示，区块链证据表明攻击者在事件发生前大约三个月为多个钱包提供了资金。然后，攻击者逐渐积累了价值过时的 Silo 金库代币，这些代币后来被用来夸大金库的资产净值。
闪电贷主要为最终交易提供临时流动性，而不是造成漏洞本身。
该协议还解决了广泛分享的屏幕截图，显示年收益率约为 208 万％。它解释说，该数字是由于金库报告的资产净值出现一个区块飙升而产生的，并不代表实际的投资回报。
协议因治理权衡后续步骤而暂停
利用该漏洞后，所有 Lazy Summer Protocol 金库都被暂停，并且在调查事件期间存款上限降至零。
报告称，治理现在必须决定如何处理受影响的金库、是否补偿用户以及未受影响的金库何时可以安全地恢复运营。
<小时>最终摘要
- Summer.fi 表示，此次价值 604 万美元的漏洞是在几个月内策划的，源于不完整的金库卸载流程。
- 该协议已暂停所有金库，同时治理考虑补偿、补救和安全地重新开放未受影响的市场。