Ein Verlust von 6 Millionen US-Dollar aus den automatisierten Vaults von Summer.fi hat die Branche alarmiert: Smart-Contract-Bugs sind nicht mehr die größte Bedrohung – der Code, der Ihr Geld ohne Nachfrage umschichtet, könnte es sein.
Blockaid meldete den Exploit am 6. Juli und schätzte, dass bereits rund 6 Millionen US-Dollar aus dem Protokoll abgeflossen waren. Die Sicherheitsfirma veröffentlichte die Exploit-Transaktion, die Adresse des Angreifers und die betroffenen Verträge – sowohl Summer.fi als auch sein Lazy-Summer-Protokoll waren betroffen. Die On-Chain-Aufzeichnung zeigt eine erfolgreiche Ethereum-Überweisung um 05:17:59 UTC.
Summer.fi bestätigte den Vorfall Stunden später. Die Protokollwächter froren alle Vaults bei Lazy Summer ein, während das Team die Ursache untersucht. Die endgültige Verlustsumme und die genaue Schwachstelle bleiben bis zu einer vollständigeren Überprüfung unbestätigt.
Der Exploit zielt auf eine Designfunktion ab, die viele Einleger nie zu Gesicht bekommen.
Die Lazy Vaults von Summer.fi – auch Fleets genannt – sollen nach dem Prinzip „einstellen und vergessen“ funktionieren. Sie balancieren sich automatisch über ein mehrschichtiges System neu aus: Ein Fleet Commander kümmert sich um Einlagen und Zuweisung; ARKs führen die Renditestrategien aus; RAFT erntet und reinvestiert die Erträge. Ein Keeper AI Agent kann Vermögenswerte innerhalb der von der Governance festgelegten Grenzen zwischen den ARKs verschieben.
Genau an dieser Vertrauenskette setzte der Angriff an. Ein Einleger verlässt sich auf die Anteilsbuchhaltung, Strategieverträge, Keeper-Logik, Governance-Obergrenzen und Notbremsen – all das bewegt Kapital ohne manuelle Genehmigung.
Der Vorfall folgt auf ein brutales Quartal für die DeFi-Sicherheit. CryptoSlates eigene Analyse bezifferte die gesamten bekannten Verluste durch Hacks allein im zweiten Quartal auf 780,3 Millionen US-Dollar. Das Muster verschiebt sich: Flash-Loan- und Bridge-Exploits nehmen ab, aber Logikfehler – insbesondere in automatisierten Systemen – sind schwerer einzudämmen.
Vorerst sollten die Nutzer auf den Post-Mortem-Bericht von Summer.fi warten. Das Protokoll hat Audits und ein Immunefi-Bounty-Programm vorzuweisen, aber dieses Ereignis zeigt, dass „auditiert“ und „sicher“ nicht dasselbe sind, wenn die Automatisierung die Angriffsfläche darstellt.
SummerFi verliert $6 Mio. durch Fehler in automatisiertem Vault
Die automatisierten Einlagenfonds von SummerFi verloren rund 6 Millionen US-Dollar aufgrund einer Schwachstelle in der Software, die Vermögensverschiebungen ohne Nutzergenehmigung verwaltet. Dies betrifft Anleger, die dem System vertrauten, ihr Geld sicher zu verwalten, und wirft Bedenken hinsichtlich versteckter Risiken bei automatisierten Krypto-Diensten auf.