Summer.fi Lazy Summer Cuộc tấn công không phải là lỗ hổng hợp đồng, mà là cơ chế NAV bị lợi dụng

Tin tức từ ChainCatcher, Summer.fi đã phát hành báo cáo phân tích sự kiện tấn công kho USDC của Lazy Summer Protocol. Kẻ tấn công đã thao túng giá của hai phần kho USDC trong một giao dịch nguyên tử, rút khoảng 6.04 triệu đô la từ quỹ của người gửi tiền. Cốt lõi của cuộc tấn công nằm ở cách tính giá trị tài sản ròng (NAV) của kho.

Kẻ tấn công đã quyên góp token vẫn giữ giá trị cũ cho một Silo Ark đã bị tạm ngừng sau sự kiện vào tháng 11 năm 2025 nhưng chưa bị loại bỏ hoàn toàn, dẫn đến tổng tài sản của kho bị thổi phồng khoảng 9.5%, giá phần kho bị đẩy lên cao, sau đó được rút lại với giá cao ảo và rút tiền từ thanh khoản thực tế của kho. Báo cáo nhấn mạnh rằng cuộc tấn công này không phải do lỗ hổng mã hợp đồng, mà là do thiếu sót trong quy trình ngừng hoạt động của kho------giới hạn gửi tiền của Ark đã được đặt thành không, nhưng vẫn được tính vào NAV trong tài sản đang hoạt động.

Kẻ tấn công đã lên kế hoạch tích lũy token cần thiết qua nhiều ví ba tháng trước và đã chuyển một phần lợi nhuận qua Tornado Cash. Sau sự kiện, Guardian Multisig đã tạm ngừng tất cả các kho trên chuỗi và đặt giới hạn gửi tiền thành không. Lazy Summer DAO sẽ thảo luận về kế hoạch bồi thường cho người dùng bị ảnh hưởng và kế hoạch khởi động lại kho trong vài ngày tới.