Hack en cours sur Summer.fi : analyse d’un vol de 6 millions de dollars

Hack Summer.fi : ce que l’on sait au moment des faits

Summer.fi (ex-Oasis.app) a subi une exploitation ayant vidé environ 6 millions de dollars de ses coffres de rendement sur Ethereum.[1][2] L’alerte a d’abord été donnée par Blockaid sur X, puis confirmée par l’équipe Summer.fi.[1][2]

Blockaid a partagé les principales données on-chain :

• adresse de l’attaquant : 0x7BF7…BDCa
• contrat d’exploit : 0x0514…FC61
• trois coffres Lazy Summer touchés, dont le principal vault USDC.[1][8]

💡 À retenir

• la transparence on-chain permet à la communauté de suivre le hacker ;
• elle facilite les analyses indépendantes et la coordination entre protocoles.[1][5]

Le coffre le plus touché est LazyVault_LowerRisk_USDC (LVUSDC), présenté comme un coffre USDC à « faible risque », basé sur la gestion de risque de Block Analitica.[1] Au début de l’attaque, l’APY de ce vault a brièvement atteint ~2,08 millions %, révélant une manipulation interne du calcul de rendement.[1][2]

En réaction, les gardiens ont :

• mis en pause les coffres Lazy Summer ;
• étendu ensuite la pause à tous les vaults pour éviter toute propagation et enquêter sur la cause profonde.[2][6][7]

📊 Donnée clé

• TVL avant attaque : ~22 M$ (DeFiLlama) ;
• le token SUMR a chuté de plus de 18 % peu après l’annonce, malgré un marché global légèrement haussier.[2][5]

Un gestionnaire de trésorerie DeFi affirme avoir clos ses positions dès qu’il a vu l’APY LVUSDC devenir « absurde », soulignant l’utilité de ces signaux extrêmes sur l’interface.

Comment l’attaque a été menée : prêts éclair et faille de comptabilité

Les premières analyses convergent :

• pas de vol de clés privées ;
• pas d’abus de privilèges admin ;
• exploitation d’une vulnérabilité dans la logique de comptabilité des vaults USDC automatisés, liée au calcul des parts et de la liquidité disponible.[3][4]

Selon CertiK, l’attaquant a pris un prêt éclair d’environ 65,4 M$, surtout en USDC, complété par de l’USDT.[3][7] Ces fonds ont permis de :

• gonfler artificiellement les actifs des coffres ;
• puis retirer plus que la valeur réellement déposée par les utilisateurs.[3]

📊 Donnée clé
CertiK estime le profit net à ~6 M$ après remboursement du prêt éclair, pour un emprunt temporaire de plus de 65 M$.[3][7]

Une analyse détaillée met en cause le coffre « Fleet Commander » et sa stratégie « Ark » :

• en manipulant la confiance du vault envers ce contrat de stratégie,
• l’attaquant aurait fait apparaître ~7,14 M$ d’actifs rapportés,
• ce qui lui a permis de racheter près de 71 M d’USDC dans la même transaction.[4]

⚠️ Point clé

• une hypothèse erronée de « confiance » entre modules (vaults et stratégies) suffit à créer une faille majeure, même sans bug cryptographique.[4][7]

Concrètement, l’attaquant a enchaîné dépôts, remboursements et retraits à travers Lazy Summer et VaultV2, profitant de la façon dont :

• soldes,
• parts,
• et liquidités disponibles
  étaient calculés dans une seule transaction atomique.[3] En fin d’opération, ~6 M$ restaient sur le contrat d’exploit après remboursement du prêt.[3][7]

Les fonds volés ont ensuite été :

• convertis en DAI via Curve ;
• envoyés vers le portefeuille contrôlé par le hacker.[2][5][7]
  La conversion en stablecoin à faible volatilité stabilise la valeur volée tout en compliquant légèrement le traçage.

Conséquences, risques pour les utilisateurs et enjeux de sécurité DeFi

Les utilisateurs les plus touchés :

• déposants USDC dans les coffres Lazy Summer ciblés ;
• en particulier LazyVault_LowerRisk_USDC.[1][8]
  Un déposant majeur y avait placé ~8,6 M d’USDC, montrant une forte concentration de risque.[1][8]

💼 Exemple concret
Pour une DAO ayant parqué l’essentiel de ses stablecoins dans un seul vault « faible risque », une telle exploitation peut effacer en quelques blocs plusieurs mois de trésorerie opérationnelle.

Summer.fi indique que la cause profonde est encore étudiée, mais les chercheurs soulignent :

• une faiblesse de la logique de comptabilité ;
• couplée à des prêts éclair via Morpho pour manipuler les coffres USDC.[2][3][5]
  L’affaire rappelle que même des contrats audités et largement adoptés peuvent garder des vecteurs d’attaque subtils.

Cette attaque s’inscrit dans une série d’exploits DeFi via prêts éclair :

• aucune clé privée n’est nécessaire ;
• une simple faille logique dans la comptabilisation des actifs et parts de vaults peut suffire à détourner plusieurs millions en une transaction.[4][7]

⚠️ Point clé pour les utilisateurs
Pour réduire le risque, il est essentiel de :

• diversifier les plateformes de rendement, éviter le « all-in » sur un seul vault ;[2]
• surveiller les signaux on-chain anormaux (APY ou TVL qui explosent sans annonce) ;[1][5]
• suivre les alertes de firmes de sécurité comme Blockaid, PeckShield ou CertiK.[1][2][8]

Pour les développeurs DeFi, le cas Summer.fi souligne la nécessité de :

• modéliser précisément les scénarios de prêts éclair ;
• isoler les modules de comptabilité ;
• limiter la confiance implicite entre vaults et stratégies ;
• tester régulièrement les mécanismes de pause d’urgence en conditions de stress.[3][6][7]

Conclusion : leçons à tirer pour investisseurs et bâtisseurs DeFi

L’exploit en cours sur Summer.fi montre la fragilité des logiques de comptabilité dans les protocoles de rendement automatisé : en combinant prêts éclair massifs, manipulation de relations de confiance entre modules et erreurs de calcul des parts, un attaquant peut extraire plusieurs millions sans toucher aux clés privées.[3][4][7]

Pour les investisseurs :

• traiter avec prudence le label « faible risque » ;
• diversifier les dépôts ;
• considérer APY ou TVL anormaux comme des signaux d’alerte immédiats.[1][2][5]

Pour les bâtisseurs :

• ne pas se reposer uniquement sur les audits ;
• formaliser les hypothèses de confiance ;
• intégrer les prêts éclair dans les modèles de menace ;
• déployer des défenses en profondeur et des pauses d’urgence testées.[3][6][7]