erc4626

Summer.fi 610 millones de dólares se llevó un ataque de flash loan; el problema no está en la liquidez on-chain, sino en una sola línea de "confianza".

El atacante usa un flash loan de 65,40 millones de USDC + 1 millón de USDT: primero deposita 64,80 millones de USDC en Fleet Commander para obtener participaciones, luego mete directamente esas participaciones de SiloVault en el contrato de estrategia Ark, que es gestionado por Silo Finance. Así, se salta la ruta de depósito normal, y el saldo de Ark pasa de 0 a "donado" con 7,14 millones de dólares.

Cuando Fleet Commander calcula totalAssets, da total credibilidad al saldo inicial que Ark declara, sin ninguna validación interna. Entonces, el atacante aprovecha para canjear 71 millones de USDC y se marcha con una ganancia neta de aproximadamente 6,10 millones de dólares en una sola operación.

Onchain Lens lo califica como un ataque de donación entre contratos ERC-4626. La esencia de este tipo de vulnerabilidad es que el vault trata el contrato de estrategia como un "oráculo de confianza"; mientras que el estándar ERC-4626 en sí no obliga a aislar las entradas externas con la entrada de fondos real.

Tres recordatorios para quienes mantienen posiciones:
1. Revisa si el protocolo usado realiza contabilidad independiente para la capa de estrategia, en lugar de leer directamente balanceOf
2. En los vault con subidas anómalas de la tasa, primero mira la composición del TVL y luego habla del APY
3. Flash loan + inflación de participaciones es el dúo más frecuente en los últimos dos años en DeFi; no lo sigas tratando como un cisne negro

La confianza en el código no es seguridad; la verificación sí lo es.

#DeFi #SmartContractSecurity #ERC4626

Summer.fi fue atacado con un préstamo relámpago, y 6,1 millones de dólares desaparecieron de la nada。

La ruta del atacante en realidad fue muy “limpia”: tomó prestados 65,40 millones de USDC + 1 millón de USDT, depositó 64,80 millones de USDC en Fleet Commander para obtener participaciones, y luego transfirió directamente las participaciones de SiloVault al contrato de estrategia Ark, haciendo que el saldo contable de Ark pasara de 0 a 7,14 millones de dólares。

El problema está en que Fleet Commander, al calcular totalAssets, confía directamente en el saldo original reportado por Ark, sin ninguna validación interna. Como resultado, el atacante aprovechó para canjear 71,00 millones de USDC, ganando en neto aproximadamente 6,1 millones, todo en una sola transacción.

Se trata de un ataque típico de donación entre contratos ERC-4626. El precio de las participaciones de ERC-4626 depende del criterio de los activos subyacentes; y si la tesorería “ciega” confía en el saldo que informa un contrato externo de estrategia, basta con que el atacante pueda transferir directamente activos/participaciones al contrato de estrategia para inflar artificialmente el valor de cada participación y salir con arbitraje.

Algunos puntos de riesgo que se pueden reutilizar:
- La tesorería no debe confiar incondicionalmente en los saldos reportados por la estrategia; debe haber contabilidad interna + verificación de diferencias；
- El contrato de estrategia debe filtrar los activos y participaciones “llegados por accidente” y no contarlos en el NAV；
- Los protocolos que involucren estructuras anidadas de ERC-4626 deberían revisarse nuevamente en cuanto a la superficie de ataque de donaciones.

En DeFi, las vulnerabilidades son cada vez menos producto de las matemáticas y más de los diseños de los límites de “quién confía en quién”.

#DeFi #Summer_fi #ERC4626

Summer.fi volvió a caer en los viejos problemas de ERC-4626; solo que esta vez cambió la postura a un ataque entre contratos.

El atacante usó un flash loan de 65.40 millones de USDC + 1 millón de USDT: primero depositó 64.80 millones en Fleet Commander para obtener participaciones, luego metió directamente las participaciones de SiloVault en el contrato de estrategia Ark gestionado por Silo Finance, evitando el proceso normal de depósito y rellenando a la fuerza el saldo de Ark desde 0 hasta 7.14 millones de dólares.

Vulnerabilidad clave: al calcular totalAssets, Fleet Commander confía directamente en el saldo original reportado por Ark, sin ninguna validación interna. Así, el atacante canjeó 71.00 millones de USDC y, con una sola operación, obtuvo una ganancia neta de aproximadamente 6.10 millones de dólares y se fue.

Lecciones de siempre:
— No se puede “confiar sin condiciones” en el saldo del contrato de estrategia para el tesoro.
— Las variantes del ataque por donación/inflación en ERC-4626 seguirán apareciendo.
— La contabilidad entre contratos debe usar un registro interno, no leer balanceOf externo.

Cuanto más complejo se apilen los protocolos DeFi, más fácil es que alguien se cuele por los límites de confianza. El código auditado no equivale a una arquitectura segura.

#DeFi安全 #ERC4626 #SummerFi

Summer.fi vuelve a caer—se llevaron 6,1 millones de dólares en una operación relámpago dentro de un préstamo flash; el problema no está en el oráculo ni en la clave privada, sino en una línea de código de “te creo”.

El camino del atacante, en realidad, es ridículamente simple:
· Toma prestados 6540 millones de USDC y 1000 mil USDT mediante un préstamo flash
· Depósito normal de 6480 millones de USDC en Fleet Commander para obtener participaciones
· Paso clave—transferir **directamente** las participaciones de SiloVault al contrato de estrategia Ark, evitando la entrada de depósitos
· El saldo contable de Ark infla instantáneamente de 0 a 714 millones de dólares
· Fleet Commander calcula totalAssets aceptando sin más el saldo original que Ark reporta; el atacante canjea 7100 millones de USDC y se va

Ganancia neta de 6,1 millones; todo resuelto con una sola transacción.

Este es el típico ataque de donación entre contratos compatibles con ERC-4626. El fallo nativo de inflación de participaciones en ERC-4626, del que todos se han protegido durante dos años, pero cuando el tesoro se descompone en una arquitectura combinada de “Vault + múltiples contratos de estrategia”, el riesgo se traslada de dentro de un solo contrato a la **frontera de confianza** entre contratos. Fleet Commander toma el saldo reportado por Ark como verdad absoluta (ground truth) y no realiza ninguna validación interna; en esencia, entrega las llaves del tesoro a una dirección que cualquiera puede “inflar” mediante una “donación”.

Puntos para revisar en el circuito completo de agregación de beneficios DeFi:
1. El reporte del saldo del contrato de estrategia debe pasar por una entrada con lista blanca, rechazando transferencias sin dueño
2. El cálculo de totalAssets debe incluir una comprobación de la diferencia entre el registro interno y el saldo externo
3. Cuanto más complejo sea el tesoro modular, más necesario es tratar las “llamadas entre contratos” como una entrada externa para auditar

Que un informe de auditoría haya pasado no equivale a que sea seguro; en arquitecturas combinadas, el área de ataque se sigue descubriendo una y otra vez.

#DeFi安全 #ERC4626 #Summerfi

@OpenLedger

Mira, seré honesto.

Hace unos meses, si hubiera visto "integración ERC-4626" en mi timeline, probablemente lo habría dejado pasar 😭

Porque suena como una de esas actualizaciones técnicas que solo les interesan a los desarrolladores.

Pero cuanto más lo pienso, más siento que la gente sigue prestando atención a la capa brillante y ignora completamente la base que está debajo.

Todo el mundo habla de modelos de IA más grandes.

Más computación.

Agentes más inteligentes.

Todo más rápido.

Genial.

Pero, ¿qué pasa cuando la IA se convierte en algo más que solo software? ¿Qué pasa cuando los datos, modelos y agentes comienzan a actuar como una economía real?

Ahí es donde las cosas se ponen interesantes.

OpenLedger no solo está hablando de la inteligencia en sí. Está construyendo alrededor de la liquidez para datos, modelos de IA y agentes autónomos.

Y los ecosistemas no pueden escalar si cada protocolo habla un idioma diferente.

Por eso ERC-4626 realmente importa.

No es la parte llamativa que la gente celebra.

Es la parte que elimina la fricción y facilita la conexión de los sistemas.

Curiosamente, las actualizaciones aburridas a veces terminan convirtiéndose en las cosas de las que depende todo lo demás 👀

@OpenLedger #OpenLedger #ERC4626 $OPEN

La mayoría de los productos de rendimiento DeFi compiten en la estrategia del algoritmo, el modelo de riesgo, la lógica de reequilibrio. La interfaz del vault rara vez se discute, porque tiende a verse igual en todos los protocolos.

@OpenLedger
Esa uniformidad es ERC-4626 haciendo su trabajo. Estandariza cómo los vaults que generan rendimiento exponen las funciones de depósito, retiro y contabilidad. No genera rendimiento. Solo hace que los vaults sean legibles y composables en el ecosistema.

La tensión es que construir sobre un estándar significa aceptar sus limitaciones. La diferenciación tiene que ocurrir por encima de la interfaz, no dentro de ella.

La capa de vault de IA de OpenLedger se sitúa encima de ERC-4626 en lugar de reemplazarlo. El estándar maneja la mecánica del vault; la capa de IA es donde el protocolo intenta agregar algo distintivo: lógica de asignación dinámica coordinada por entradas impulsadas por modelos.

$OPEN apuesta a que la composabilidad en la capa base vale más que una interfaz propietaria. Si la capa de IA encima realmente diferencia el producto es la parte que queda sin resolver.

Esa es una elección arquitectónica, no una garantía. Vale la pena observar cómo se desempeña esa capa bajo presión de asignación real.
#OpenLedger
#ERC4626
#open

🏦 ERC-4626 estándar de bóveda: $OPEN cómo hacer que la gestión de capital en DeFi sea más inteligente

@Openledger está integrando profundamente el estándar de bóveda ERC-4626 en su ecosistema de blockchain AI, lo que podría ser un paso importante hacia la gestión automatizada de DeFi.

¿Qué es ERC-4626?
ERC-4626 es un estándar de interfaz de bóveda unificada en Ethereum que define operaciones comunes como depositar, retirar y consultar balances. Permite que diferentes protocolos de DeFi se combinen sin problemas, como piezas de Lego.

Lo que hace OpenLedger:
• Capa de gestión de bóveda AI — Monitoreo en tiempo real de señales del mercado a través de un Agente AI en cadena, ajustando automáticamente la configuración de capital
• Combinabilidad estructurada — Basado en el estándar ERC-4626, diferentes bóvedas pueden anidarse y combinarse sin problemas
• Gestión de capital automatizada — Los fondos ya no están ociosos, el agente AI busca continuamente los lugares de mayor rendimiento

Datos actuales $OPEN :
💰 Precio: $0.19754
📈 24h: +3.65% | 7d: +4.39%
🏦 Capitalización de mercado: $42.36M
💎 Circulante: 215.5M / Total 1B
🔗 Desplegado en Ethereum + BSC de doble cadena

Instituciones líderes como Polychain Capital y HashKey Capital lideran una ronda semilla de $8M, con X seguidores superando los 417K, y una base ecológica sólida.

Cuando el Agente AI se encuentra con el protocolo de bóveda estandarizado, la era de la automatización en DeFi está llegando más rápido.

#OpenLedger #ERC4626 #DeFi #AI #blockchain

⚠️ El contenido anterior es solo para referencia y no constituye asesoramiento de inversión.