Una pérdida de $6 millones en las bóvedas automatizadas de Summer.fi ha puesto en alerta a la industria: los errores en los contratos inteligentes ya no son la mayor amenaza; podría serlo el código que reequilibra tu dinero sin preguntar.
Blockaid alertó sobre el exploit el 6 de julio, estimando que aproximadamente $6 millones ya habían salido del protocolo. La firma de seguridad publicó la transacción del exploit, la dirección del atacante y los contratos específicos involucrados; tanto Summer.fi como su protocolo Lazy Summer fueron afectados. El registro en la cadena muestra una transferencia exitosa de Ethereum a las 05:17:59 UTC.
Summer.fi reconoció el incidente horas después. Los guardianes del protocolo congelaron todas las bóvedas en Lazy Summer mientras el equipo investiga la causa raíz. La cifra final de pérdidas y la vulnerabilidad exacta siguen sin confirmarse a la espera de una revisión más completa.
El exploit se dirige a una característica de diseño que muchos depositantes nunca ven.
Se supone que las Lazy Vaults de Summer.fi –también llamadas Fleets– son del tipo "configurar y olvidar". Se reequilibran automáticamente mediante un sistema de capas: un Fleet Commander gestiona los depósitos y la asignación; los ARK ejecutan las estrategias de rendimiento; RAFT cosecha y compone las recompensas. Un Agente de IA Keeper puede mover activos entre los ARK dentro de los límites establecidos por la gobernanza.
Esa cadena de confianza es exactamente donde se produjo el ataque. Un depositante confía en la contabilidad de participaciones, los contratos de estrategia, la lógica del keeper, los límites de la gobernanza y los frenos de emergencia, todo ello moviendo capital sin aprobación manual.
El incidente sigue a un trimestre brutal para la seguridad en DeFi. El propio análisis de CryptoSlate estimó las pérdidas totales conocidas por hackeos en $780.3 millones solo en el segundo trimestre. El patrón está cambiando: los préstamos flash y los exploits de puentes están disminuyendo, pero los errores de lógica –especialmente en sistemas automatizados– son más difíciles de contener.
Por ahora, los usuarios deben estar atentos al informe post-mortem de Summer.fi. El protocolo cuenta con auditorías y un programa de recompensas en Immunefi, pero este evento demuestra que "auditado" y "seguro" no son lo mismo cuando la automatización es la superficie de ataque.
SummerFi pierde $6M por fallo en bóveda automatizada, revelando riesgos
Los fondos de depósito automatizados de SummerFi perdieron aproximadamente $6 millones debido a una debilidad en el software que gestiona los movimientos de activos sin la aprobación del usuario. Esto afecta a los depositantes que confiaron en el sistema para manejar su dinero de forma segura y plantea preocupaciones sobre los riesgos ocultos en los servicios de criptomonedas automatizados.