erc4626

Summer.fi 被闪电贷精准爆头，610 万美元凭空蒸发。

攻击者的路径其实很"干净"：借入 6540 万 USDC + 100 万 USDT，把 6480 万 USDC 存入 Fleet Commander 拿到份额，然后把 SiloVault 份额直接转给策略合约 Ark，让 Ark 账面余额从 0 膨胀到 714 万美元。

问题出在 Fleet Commander 计算 totalAssets 时，直接信任 Ark 上报的原始余额，没有任何内部校验。结果攻击者顺势赎回 7100 万 USDC，净赚约 610 万，全程一笔交易搞定。

这是一次典型的跨合约 ERC-4626 捐赠攻击。ERC-4626 的份额价格本就依赖底层资产口径，一旦金库"盲信"外部策略合约汇报的余额，攻击者只要能直接向策略合约转账/转份额，就能人为拉高单份额价值，套利离场。

几个可以拿来复用的风险点：
- 金库不应无条件信任策略上报的余额，需要用内部记账 + 差额校验；
- 策略合约必须过滤"意外到账"的资产和份额，不能计入 NAV；
- 涉及 ERC-4626 嵌套结构的协议，都值得重新审一遍捐赠攻击面。

DeFi 的漏洞越来越少来自数学，更多来自"谁信任谁"的边界设计。

#DeFi #Summer_fi #ERC4626

Summer.fi снова вляпалась в старую проблему ERC-4626, только на этот раз поменяла позу — перекинулась между контрактами.

Атакующий взял флэш-кредит 65,40 млн USDC + 1 млн USDT: сначала внес 64,80 млн в Fleet Commander, получил доли, затем напрямую закинул доли SiloVault в контракт Ark, управляющий стратегией в Silo Finance, минуя обычный процесс пополнения. В итоге вручную «залили» баланс Ark с 0 до 7,14 млн долларов.

Ключевая уязвимость: при расчёте totalAssets в Fleet Commander напрямую принимают исходный баланс, указанный в отчёте Ark, без каких-либо внутренних проверок. Поэтому атакующий погасил 71 млн USDC и в одной транзакции чистыми заработал около 6,10 млн долларов — и ушёл.

Вечные уроки:
— Хранилище (vault) не должно «безусловно доверять» балансу стратегии-контракта
— Варианты donation/inflation-атак в рамках ERC-4626 всё ещё будут продолжать появляться
— Межконтрактная бухгалтерия должна опираться на внутренние проводки, а не на чтение внешнего balanceOf

Чем сложнее DeFi-протокол, тем легче доверительные границы пробить через щели. Протокол с «прошедшим аудит кодом» не равен безопасной архитектуре.

#DeFi安全 #ERC4626 #SummerFi

@OpenLedger

Слушай, я буду честен.

Несколько месяцев назад, если бы я увидел "интеграцию ERC-4626" в своей ленте, я бы, вероятно, прокрутил мимо это 😭

Потому что это звучит как одно из этих технических обновлений, о которых заботятся только разработчики.

Но чем больше я об этом думаю, тем больше чувствую, что люди продолжают обращать внимание на блестящий слой и полностью игнорируют основание под ним.

Все говорят о больших ИИ моделях.

Больше вычислений.

Умнее агенты.

Все быстрее.

Круто.

Но что происходит, когда ИИ становится больше, чем просто программное обеспечение? Что происходит, когда данные, модели и агенты начинают действовать как настоящая экономика?

Вот где все становится интересным.

OpenLedger не просто говорит об интеллекте. Он строит вокруг ликвидности для данных, ИИ моделей и автономных агентов.

И экосистемы не могут масштабироваться, если каждый протокол говорит на разном языке.

Вот почему ERC-4626 действительно важен.

Это не та блестящая часть, которую празднуют люди.

Это та часть, которая убирает трение и делает системы более связными.

Забавно, но скучные обновления иногда становятся теми вещами, от которых зависит все остальное 👀

@OpenLedger #OpenLedger #ERC4626 $OPEN

Summer.fi 610 млн долларов были унесены флэш-кредитом; проблема не в ликвидности на блокчейне, а в одной строке «доверия».

Атакующий с помощью флэш-кредита взял 65,40 млн USDC + 1 млн USDT, сначала положил 64,80 млн USDC в Fleet Commander, чтобы получить доли, затем напрямую поместил доли SiloVault в стратегический контракт Ark, которым управляет Silo Finance, минуя обычный путь пополнения. В итоге Ark баланс был «пожертвован» сразу до 7,14 млн долларов.

При расчёте totalAssets Fleet Commander полностью доверяет исходному балансу, который Ark сообщает сам о себе, без каких-либо внутренних проверок. Поэтому атакующий воспользовался ситуацией и погасил (redeem) 71 млн USDC, уйдя с прибылью примерно 6,10 млн долларов в одной сделке.

Onchain Lens классифицировал это как межконтрактную атаку через ERC-4626 donation. Суть подобных уязвимостей в том, что vault считает стратегический контракт «надёжным оракулом», тогда как стандарт ERC-4626 сам по себе не требует жёстко изолировать внешние пополнения от реального фактического внесения.

Три напоминания держателям позиций:
1. Проверьте, делает ли используемый протокол независимый учёт на уровне стратегии, а не просто напрямую читает balanceOf
2. Для vault с аномально завышенной доходностью сначала посмотрите структуру TVL, и только потом обсуждайте APY
3. Флэш-кредит + раздувание долей — одна из самых частых комбинаций в DeFi за последние два года; не считайте это больше «чёрным лебедем»

Кодовое «доверие» — это не безопасность; проверка — вот что важно.

#DeFi #SmartContractSecurity #ERC4626

Большинство DeFi продуктов с доходностью конкурируют по стратегии алгоритма, модели риска и логике ребалансировки. Интерфейс хранилища внизу редко обсуждается, потому что он, как правило, выглядит одинаково по всем протоколам.

@OpenLedger
Эта унификация — заслуга ERC-4626, который выполняет свою работу. Он стандартизирует, как хранилища с доходностью открывают функции депозита, вывода и учета. Он не генерирует доход. Он просто делает хранилища читаемыми и совместимыми в экосистеме.

Напряжение заключается в том, что построение на стандарте означает принятие его ограничений. Дифференциация должна происходить выше интерфейса, а не внутри него.

Слой AI хранилища OpenLedger находится поверх ERC-4626, а не заменяет его. Стандарт обрабатывает механику хранилищ; слой AI — это то место, где протокол пытается добавить что-то отличительное: динамическую логику распределения, координированную на основе входных данных, управляемых моделью.

$OPEN ставит ставку на то, что совместимость на базовом уровне стоит больше, чем проприетарный интерфейс. Различает ли слой AI выше его на самом деле продукт — это то, что остается нерешенным.

Это архитектурный выбор, а не гарантия. Стоит следить за тем, как этот слой будет работать под реальным давлением распределения.
#OpenLedger
#ERC4626
#open

Summer.fi снова попалась — 6,1 млн долларов за одну сделку по флэш-кредиту украли, и проблема не в оракуле и не в приватном ключе, а в строке кода «я тебе верю».

Путь атакующего на самом деле до абсурда прост:
· Взял флэш-кредит: 65,40 млн USDC + 1 млн USDT
· Нормально внес 64,80 млн USDC в Fleet Commander, получил доли
· Ключевой шаг — **прямая передача** долей SiloVault на адрес стратегического контракта Ark, в обход входа для депозитов
· Баланс Ark на бумаге мгновенно раздувается с 0 до 7,14 млн долларов
· Fleet Commander при расчете totalAssets безоговорочно доверяет исходному балансу, который заявляет Ark, и атакующий выкупает обратно 71 млн USDC — и уходит

Чистая прибыль 6,1 млн — вся операция одним транзакционным действием.

Это типичная атака на ERC-4626 через перекрестные контракты с «пожертвованием». Родившуюся у ERC-4626 уязвимость инфляции долей из-за «donation» комьюнити уже гасит два года, но когда хранилище разбивают на «Vault + несколько стратегических контрактов», риск смещается с уязвимости внутри одного контракта на **границы доверия** между контрактами. Fleet Commander воспринимает баланс, который сообщает Ark, как истину и не делает внутренней валидации — по сути, он отдает ключи от сейфа адресу, который может любым способом «пожертвованием» раздувать баланс.

Несколько моментов, которые стоит пересмотреть всей DeFi-отрасли в сегменте агрегаторов доходности:
1. Сообщаемый баланс стратегического контракта должен проходить через белый список, а входящие переводы без владельца нужно отклонять
2. При расчете totalAssets следует добавлять проверку разницы между внутренним учетом и внешним балансом
3. Чем сложнее модульный сейф, тем важнее рассматривать «вызовы между контрактами» как внешний вход и проводить аудит

Прохождение аудита не равно безопасности — поверхность атаки в комбинированных архитектурах снова и снова обнаруживают.

#DeFi安全 #ERC4626 #Summerfi

🏦 ERC-4626 стандарт хранилищ: $OPEN как сделать управление капиталом DeFi более умным

@Openledger глубоко интегрирует стандарт хранилищ ERC-4626 в свою экосистему AI блокчейна, что может стать важным шагом для автоматизации управления DeFi.

Что такое ERC-4626?
ERC-4626 — это унифицированный стандарт интерфейсов хранилищ на Ethereum, который определяет общие операции, такие как депозит, вывод, проверка баланса и другие. Это позволяет различным протоколам DeFi бесшовно сочетаться, как Lego.

Подход OpenLedger:
• AI управление хранилищем — с помощью AI-агента на блокчейне в реальном времени отслеживаются рыночные сигналы, автоматически регулируется распределение капитала
• Структурированная совместимость — на основе стандарта ERC-4626 различные хранилища могут бесшовно вкладываться и комбинироваться
• Автоматизированное управление капиталом — капиталы больше не простаивают, AI-агент постоянно ищет лучшие места для дохода

Текущие данные $OPEN :
💰 Цена: $0.19754
📈 24ч: +3.65% | 7д: +4.39%
🏦 Рыночная капитализация: $42.36M
💎 Объем: 215.5M / Общий объем 1B
🔗 Развернуто на Ethereum + BSC двойной цепи

Топовые институциональные инвесторы, такие как Polychain Capital и HashKey Capital, возглавили посевной раунд в $8M, количество подписчиков X превышает 417K, экосистема хорошо укреплена.

Когда AI-агент встречает стандартизированный протокол хранилищ, эра автоматизации DeFi ускоряется.

#OpenLedger #ERC4626 #DeFi #AI #блокчейн

⚠️ Данный материал предназначен исключительно для ознакомления и не является инвестиционной рекомендацией.