Summer.fi Lazy Summer 攻击并非合约漏洞，而是 NAV 机制被利用

ChainCatcher 消息，Summer.fi 发布 Lazy Summer Protocol USDC 金库攻击事件分析报告。攻击者在单笔原子交易中操纵两个 USDC 金库份额价格，提取约 604 万美元存款人资金。攻击核心在于金库资产净值（NAV）计算方式。

攻击者向一个在 2025 年 11 月事件后被暂停但尚未完全移除的 Silo Ark 捐赠了仍保留旧有估值的代币，导致金库总资产虚增约 9.5%，份额价格被抬高，随后以虚高价格赎回并从金库真实流动性中提款。报告强调，该攻击并非合约代码漏洞，而是金库下线流程中环节缺失所致——该 Ark 存款上限已被设为零，但仍在活跃资产集中被计入 NAV。

攻击者提前三个月通过多个钱包预谋积累了所需代币，并将部分获利通过 Tornado Cash 转移。事件发生后，Guardian Multisig 已暂停所有链上金库并将存款上限设为零。Lazy Summer DAO 将在未来数日讨论受影响用户补偿方案及金库重启计划。