summerfi

Summer.fi s'est encore heurté au vieux problème d’ERC-4626, mais cette fois, avec une manœuvre impliquant plusieurs contrats.

L’attaquant a pris un flash loan de 65,40 M USDC + 1 M USDT. Il a d’abord déposé 64,80 M dans Fleet Commander pour obtenir des parts, puis a directement injecté des parts de SiloVault dans le contrat de stratégie Ark géré par Silo Finance, en contournant le processus de dépôt normal. Résultat : il a brutalement “rempli” le solde d’Ark depuis 0 jusqu’à 7,14 M$.

Vulnérabilité clé : dans Fleet Commander, lors du calcul de totalAssets, le contrat se contente de faire confiance au solde brut rapporté par Ark, sans aucune validation interne. Ainsi, l’attaquant a pu racheter 71 M USDC : sur une transaction unique, il a réalisé un gain net d’environ 6,1 M$ et est reparti.

Un rappel bien connu :
— Le coffre-fort ne doit pas “faire aveuglément confiance” au solde des contrats de stratégie
— Les variantes d’attaques par donation/“inflation” autour d’ERC-4626 continueront d’apparaître
— La comptabilité inter-contrats doit utiliser une tenue de livres interne, plutôt que de lire un balanceOf externe

Plus les protocoles DeFi s’empilent, plus les limites de confiance sont faciles à attaquer par des failles en apparence minimes. Du code audité ne garantit pas une architecture sûre.

#DeFi安全 #ERC4626 #SummerFi

SummerFi ferme ses portes après 7 ans, marquant la fin d’une époque dans la DeFi.

Cette évolution, bien que regrettable, rappelle avec force les risques persistants au sein de l’écosystème de la finance décentralisée. Bien que SummerFi ait été une plateforme « historique », sa fermeture consécutive à une faille met en évidence les défis durables liés à la sécurité et à la pérennité. Nous avons récemment constaté une hausse significative des exploits de protocoles, avec des pertes estimées dépassant 500 M$ rien que sur le T3. Ce n’est pas qu’un bruit de fond : c’est un signal montrant que même des acteurs bien établis restent vulnérables, ce qui oblige les participants à la DeFi à repenser la gestion des risques.

Les « smart money » observent cela avec prudence, et orientent probablement les capitaux vers des protocoles davantage audités et éprouvés au combat. L’attention se tourne vers la résilience. #DeFi #CryptoSecurity #SummerFi

Le prochain catalyseur de l’opinion plus générale du marché sera le redressement durable de la Total Value Locked (TVL) dans les principaux protocoles de prêt, idéalement avec une cassure au-dessus du seuil des 80 Md$. #DeFiRecovery

Que signifie cela pour l’avenir des interfaces utilisateurs de la DeFi et la confiance que nous leur accordons ?

Un autre protocole DeFi a été percé par une « faille de confiance ».

Sur Summer.fi, une transaction unique s’est fait voler d’environ 6,1 millions de dollars : la méthode est très « didactique » :

L’attaquant recourt à un flash loan de 65,4 millions de USDC + 1 million de USDT. Il dépose ensuite normalement 64,8 millions de USDC auprès de Fleet Commander afin d’obtenir des parts. L’étape clé consiste à transférer directement les parts SiloVault vers le contrat de stratégie Ark, géré par Silo Finance, en contournant l’entrée de dépôt ; il fait ainsi « gonfler » le solde comptable d’Ark, de 0 à 7,14 millions de dollars.

Or, lorsque Fleet Commander calcule totalAssets, il se fie carrément au solde brut remonté par Ark, sans aucune vérification interne. Après gonflement, la valeur des parts est artificiellement surévaluée. L’attaquant peut alors procéder au rachat de 71 millions de USDC et s’en aller, réalisant au net 6,1 millions. Tout est bouclé en une seule transaction.

Onchain Lens qualifie l’affaire d’« attaque par don inter-contrats de type ERC-4626 ». Le problème ne vient ni du flash loan, ni de la norme ERC-4626 en elle-même, mais du fait que le coffre traite les soldes déclarés par un contrat de stratégie externe comme une vérité.

Les enseignements pour l’industrie sont très concrets :
· Le coffre doit tenir une comptabilité indépendante des actifs de stratégie ou appliquer des contrôles de limites, sans laisser la strategy décider
· Toute voie permettant de « modifier l’état comptable par simple transfert » constitue une surface d’attaque
· Pour les protocoles de rendement avec enchevêtrement de multiples contrats, l’audit doit couvrir les invariants inter-contrats, et pas seulement la logique d’un contrat

Même si le récit de la capitalisation en DeFi reste séduisant, la base demeure : « le code est la confiance ». Cette fois, la perte est de 6,1 millions ; la prochaine fois, ce pourraient être des chiffres à neuf positions.

#DeFi #SummerFi #Sécurité des smart contracts

Summer.fi遭NAV操纵攻击，损失约604万美元。La sécurité DeFi va encore en faire les frais ?

Méthode d’attaque : l’attaquant a injecté des jetons Silo dont la valorisation est inexacte dans l’Ark, un système mis hors ligne mais dont la valeur est encore prise en compte dans le NAV. L’attaquant a ainsi manipulé le prix de deux parts des coffres USDC de Lazy Summer, en une seule transaction atomique, pour obtenir 6,04 millions de dollars.

Problème central : les coffres déjà mis hors ligne sont toujours inclus dans le calcul du NAV, ce qui constitue un défaut de conception. Les responsables du protocole devraient supprimer complètement la logique de calcul du NAV lors de la mise hors ligne, au lieu de laisser une faille.

Cela montre que la sécurité DeFi ne dépend pas du fait que le code soit plus ou moins complexe, mais de la qualité avec laquelle les cas limites sont gérés.

Selon vous, les incidents de sécurité fréquents en DeFi relèvent-ils d’un problème technique ou de conception ?

#SummerFi #DeFi攻击 #安全事件 #NAV操纵 #安全

Summer.fi a encore frappé——610 millions de dollars en un éclair : une transaction de prêt flash dérobée en plein jour, le problème ne vient pas de l’oracle ni de la clé privée, mais d’une ligne de code « Je te crois ».

Le parcours de l’attaquant est en réalité stupéfiant de simplicité :
· Emprunt d’un flash loan : 6540 millions de USDC + 100 millions de USDT
· Dépôt normal de 6480 millions de USDC dans Fleet Commander, afin d’obtenir des parts
· Étape cruciale — transfert **direct** des parts de SiloVault vers le contrat de stratégie Ark, en contournant l’entrée de dépôt
· Le solde comptable d’Ark gonfle instantanément de 0 à 7,14 millions de dollars
· Fleet Commander, lors du calcul de totalAssets, accepte directement le solde brut annoncé par Ark : l’attaquant rachète 7100 millions de USDC et s’en va

Gain net : 6,10 millions. Le tout réglé en une seule transaction.

C’est l’archétype d’une attaque de type don inter-contrats ERC-4626. Les failles natives d’inflation de parts de l’ERC-4626, liées à ce mécanisme, ont déjà été colmatées depuis deux ans ; toutefois, lorsque le coffre est décomposé en « Vault + plusieurs contrats de stratégie », le risque se déplace d’une logique interne à une faille au niveau des **frontières de confiance** entre contrats. Fleet Commander traite le solde rapporté par Ark comme une vérité irréfutable (ground truth) et n’effectue aucune vérification interne : revient à remettre les clés du coffre à une adresse capable d’« amplifier » le solde par un « don » effectué par n’importe qui.

Quelques points intéressants à reconsidérer pour l’ensemble du secteur de l’agrégation de rendements DeFi :
1. Les rapports de solde des contrats de stratégie doivent passer par une entrée en liste blanche, refusant tout dépôt non attribué
2. Le calcul de totalAssets devrait intégrer une vérification de l’écart entre comptabilité interne et soldes externes
3. Plus une trésorerie modulaire est complexe, plus il faut auditer les « appels inter-contrats » comme des entrées externes

Un rapport d’audit validé ne signifie pas que c’est sécurisé : l’axe d’attaque sous architecture combinée est encore et encore exploité.

#DeFi安全 #ERC4626 #Summerfi

SummerFi en pause suite à un incident d’attaque ; les accidents de sécurité sont déjà devenus une question de survie

Cette fois, l’incident de sécurité a dépassé le stade d’une simple panne technique à court terme : il commence à affecter directement la capacité du projet à continuer de fonctionner, et la tarification du risque se fera avant la réparation émotionnelle.

Ne diffusez pas encore la panique autour de l’incident de sécurité : première étape, évaluer l’ampleur des pertes, les protocoles touchés et la confirmation officielle.

Pour l’instant, il s’agit encore du message unique de The Defiant. Je vais d’abord le considérer comme une piste à haute priorité, plutôt que de l’écrire comme une conclusion certaine.

En le mettant dans les discussions en cours autour de SummerFi, de la sécurité on-chain et du BTC, la valeur de ce message réside dans sa capacité à faire avancer le débat vers une transaction réelle.

La prochaine information la plus précieuse n’est pas une deuxième reformulation, mais la fourchette des pertes confirmée par l’équipe, les contrats impactés, et la question de savoir si les fonds continuent ou non de s’écouler.

Si les pertes sont maîtrisées et que les fonds on-chain cessent de migrer de manière anormale, cet “éclat” va retomber rapidement ; à l’inverse, si la zone d’impact continue de s’étendre, le risque se transmettra alors aux protocoles similaires.

#SummerFi #链上安全 #BTC #ETH #BNB

【Lien promotionnel】Liste d’attente pour les contrats perpétuels Arcus (leur site officiel indique qu’ils collaborent avec Robinhood Chain). Non officiel Binance, pas d’airdrop ni d’engagement de rendement ; le lien contient une identification promotionnelle. Vérifiez par vous-même les conditions de participation et les restrictions de région : https://waitlist.arcus.xyz/s/0919

#SummerFi CAMP D’ÉTÉ🔥🔥

⚠️ LE PROTOCOLE DEFI SUMMERFI ANNONCE SA FERMETURE APRÈS EXPLOIT MASSIF 🛑📉

💥 Impact et Fermeture Définitive
Le protocole de finance décentralisée SummerFi (anciennement connu sous le nom d’Oasis.app) a annoncé officiellement qu’il lancera le processus de fermeture et de liquidation progressive de ses services (sunsetting) après ne pas être parvenu à se remettre de l’impact provoqué par un exploit critique de sécurité au niveau de ses contrats intelligents.

🛡️ Retrait des Fonds et Liquidation
L’équipe de développement a exhorté tous les utilisateurs et investisseurs à retirer immédiatement leur liquidité et à clôturer leurs positions avec effet de levier via l’interface officielle avant la déconnexion définitive de la plateforme afin d’éviter des pertes en capital.

📊 Répercussion dans l’Écosystème DeFi
Le départ de SummerFi constitue un nouvel avertissement concernant les risques de sécurité dans les contrats intelligents et l’infrastructure DeFi, ajoutant de la volatilité au secteur des prêts et de la gestion de rendement décentralisée.

#SummerFi #DeFi #Exploit #CryptoNews #BinanceSquare
$SUN
$BTC
$ETH

Summer.fi cesse ses activités sur le vault après une attaque de 6 millions USD

* Le protocole de finance décentralisée (DeFi) Summer.fi a dû mettre hors service ses vault « Lazy Summer ».
* Cette décision a été prise après que le protocole ait été victime d’une attaque, entraînant des pertes estimées à 6 millions USD.
* L’incident a fait chuter la valeur du token natif SUMR de Summer.fi de plus de 18 %.
* La communauté suit de près les mesures correctives et de sécurité mises en place par Summer.fi.
#DeFi #Exploit #Summerfi #CryptoNews #SUMR

$sumr

vlikevn Titanbot

Source : CoinDesk

Annonce d’arrêt de service : ce n’est pas un marché baissier, c’est une faille. Acheter 73 millions d’ETH la même heure, et la part des positions grimpe jusqu’à 4,8% de l’offre. Deux types de fonds donnent des réponses opposées sur une même chaîne

Accumuler jusqu’à 4,8% de l’offre d’ETH, puis s’éteindre au bout de sept ans à cause d’une seule faille — le jugement consiste à rester ou à partir.

Le reportage ne donne pas de détails sur l’attaque ni le montant des pertes. Mais le fait même de choisir l’arrêt de service dit déjà beaucoup : le coût de la correction et de la poursuite des opérations dépasse la valeur accumulée par la marque sur sept ans. Ce n’est pas… c’est un protocole mature qui capitule volontairement après un incident de sécurité. Dans le contexte du marché d’aujourd’hui, cette information, associée à un autre message, forme un duo de contradictions que je n’ai pas encore vu quelqu’un relier

À la même heure, acheter encore 73 millions de dollars d’ETH : l’encours total monte à 4,8% de l’offre en circulation. Les institutions continuent de ramasser des jetons, mais le protocole choisit de se retirer. À première vue, tout semble concerner l’ETH, mais les deux types de fonds définissent totalement différemment ce que signifie « sécurité » : les institutions misent sur la capacité de la couche de consensus d’Ethereum à résister aux attaques, tandis que l’échec se joue à chaque interaction côté application. Cette divergence n’est pas encore intégrée dans les prix

Le rythme d’achat, pris isolément, est un signal d’accélération de la demande institutionnelle. La concentration de l’offre à 4,8% est rare parmi les crypto-actifs majeurs. Mais il existe ici un risque de transmission facile à négliger : l’arrêt du service, s’il déclenche la divulgation proactive de l’état de sécurité par d’autres protocoles, ou si cela augmente les seuils d’audit, fera immédiatement pression sur les volumes verrouillés de la DeFi (finance décentralisée) et sur le rendement composable. Ces institutions ne seront pas forcées de vendre à cause de cela, mais les capitaux d’arbitrage qui suivent la tendance se retireront d’abord, et la liquidité on-chain se contractera d’une couche

Sur le plan géopolitique, les frappes de missiles iraniennes contre des bases américaines ont inversé la tendance à la baisse des prix du pétrole, et le marché crypto est entré en même temps dans une fenêtre de forte volatilité. C’est la variable externe la plus susceptible de perturber le rythme d’achat institutionnel d’Ethereum — pas le fait que « ça va vendre », mais le fait que les investisseurs particuliers et les desks quantitatifs de bulls sur l’ETH réduiront passivement leurs positions à cause de la volatilité synchronisée avec le pétrole et le Bitcoin, ce qui abaisse indirectement l’avantage de leur coût comptable

Si ensuite on observe que : la publication des détails de l’attaque montre des pertes dépassant 30% de son total de fonds verrouillés, je classerai la sécurité on-chain non plus comme un risque lié à un événement isolé, mais comme un risque structurel. Je mettrai à l’écart, à court terme, toutes les expositions aux protocoles de DeFi non leaders. Si, dans le rebond du prix d’Ethereum, ils commencent à réduire leurs positions — même seulement -0,5% — je considérerai que la logique de tarification des institutions pour Ethereum a déjà dévié

En réalité, ce qu’il faut surtout vérifier, c’est la troisième chose : est-ce qu’il existe un deuxième protocole qui divulgue de lui-même un problème de sécurité après celui-ci. Tant qu’il n’y a pas de deuxième écho, l’achat de « » reste l’action la plus convaincante sur la chaîne en ce moment, mais tout le monde n’est pas forcément autour de la même table

#SummerFi #链上安全 #BTC #ETH #BNB

【Lien promotionnel】Liste d’attente (candidats) pour les contrats perpétuels Arcus (son site officiel dit qu’il collabore avec Robinhood Chain). Pas officiel de Binance, pas d’airdrop ni de promesse de gains ; le lien contient un identifiant promotionnel, et les restrictions de participation et de zone géographique sont à vérifier par vous-même : https://waitlist.arcus.xyz/s/0919

CRATÈRE !

SummerFi, un OG de la DeFi qui est une référence depuis SEPT ANS, ferme ses portes. L’équipe a invoqué une faille de sécurité comme raison de cette retraite historique de leur interface. Personne ne s’y attendait pour un joueur aussi vétéran dans le secteur. #DeFi #SummerFi #CryptoNews

Cet événement annonce un bouleversement brutal. C’est un rappel cru des risques dans la DeFi, même pour des plateformes bien établies. La vague de prudence commence. #MarketUpdate #RiskManagement

D’autres protocoles DeFi « OG » risquent-ils de connaître le même sort ? Dites-moi ce que vous en pensez en commentaire.