Summer.fi遭610萬美元攻擊後關閉！DeFi前端的安全性警鐘

7月15日，Summer.fi正式發布公告：因7月6日Lazy Summer協議遭遇攻擊，團隊評估已無可行路徑繼續推進業務，將逐步停止運營。一個從Oasis.app時代算起、在DeFi生態中存活了五年的項目，就此畫上句號。

這不是一次普通的智能合約漏洞。

Summer.fi的事後分析報告顯示，攻擊發生在7月6日，黑客通過操縱以太坊主網上兩個Lazy Summer Protocol USDC金庫的份額價格，在單筆原子交易中提取了約604萬美元的存款人資產。

關鍵在於攻擊手法的精巧程度。黑客利用的並非合約代碼漏洞，而是金庫淨值計算機制的缺陷——一個此前已被限制存款、正處於下線過程中的Silo「Varlamore」金庫代幣，其鏈上估值自2025年11月Stream Finance崩潰後一直未被下調。黑客將這些被高估的代幣「捐贈」至相關策略適配器，人為推高了金庫份額價格，藉此贖回套利。

說白了：不是代碼寫錯了，是流程沒走完。

610萬美元這個數字，放在DeFi攻擊裡不算最大。但對Summer.fi來說，是致命的。

攻擊直接造成約610萬美元損失。更糟的是，團隊成員自身資產也有相當部分存放於受攻擊金庫。這意味著團隊不僅失去了項目資金，連自己的錢也搭了進去。重建所需的運營資金被雙重削減。

攻擊者提前數月布局，通過多個錢包分散積累相關代幣以掩蓋意圖。黑客隨後將約601.7萬枚DAI分批轉換為ETH，通過Tornado Cash進行洗錢——每批10 ETH或以上。鏈上追踪的窗口正在縮小。

還有一組數據值得關注：攻擊發生後，SUMR代幣跌幅超過18%。市場對這個項目的信心，在第一時間就被擊穿了。

Summer.fi的前身是Oasis.app，一個MakerDAO生態的標誌性前端。

它允許用戶開設抵押債務頭寸來鑄造DAI穩定幣，是MakerDAO生態中最知名的用戶界面之一。從Oasis.app更名為Summer.fi，團隊的目標是擴大受眾和功能範圍。2021年6月從Maker基金會分離出來獨立運營，五年時間裡積累了不少忠實用戶。

但這次攻擊，直接終結了這條發展軌跡。

Summer.fi應用將繼續開放至8月31日，供用戶提取資金和平倉。Lazy Summer協議的未來走向將由Lazy Summer DAO決定，當前DAO正在推進恢復各金庫的提款與贖回流程。

真正值得關注的，其實不是610萬美元本身。

而是這件事暴露出的DeFi結構性風險。

Summer.fi的攻擊源於一個「正在下線但尚未完全下線」的策略沒有及時完成退出流程。「我們決定移除這個策略」和「我們實際移除了這個策略」之間的差距，價值610萬美元。

這不是智能合約審計能解決的問題。這是運營流程、治理節奏和風險管理之間的縫隙。而黑客，就是專門找這些縫隙的人。

對於普通用戶來說，Summer.fi的關閉是一個殘酷的提醒：使用第三方前端進行DeFi操作，前端層的故障可能造成致命後果。你的資產在鏈上，但你的操作入口可能隨時消失。

對整個DeFi生態而言，這件事的啟示可能比想像中更深遠。當一個項目因為「流程沒走完」而倒閉，行業需要反思的不僅是安全審計的覆蓋範圍，更是項目治理和運營的嚴謹程度。

Summer.fi關了，但MakerDAO還在，DAI還在。

用戶依然可以直接與底層MakerDAO協議交互來管理自己的頭寸。這正是DeFi的魅力所在——前端可以死，協議不會倒。

但一個存活了五年的項目以這樣的方式結束，終究令人唏噓。

610萬美元買斷的不只是一個項目的未來，更是整個行業對「流程風險」的一次重新審視。

FAQ

Q1：Summer.fi關閉後，我的資產還在嗎？

在的。Summer.fi只是前端界面關閉，用戶的資產存放在底層MakerDAO協議和Lazy Summer金庫中。Summer.fi應用將繼續開放至8月31日，用戶可在這之前提取資金和平倉。8月31日後，用戶需直接與MakerDAO協議交互來管理頭寸。

Q2：這次攻擊是怎麼發生的？

攻擊發生在7月6日，黑客利用了Lazy Summer協議金庫淨值計算機制的漏洞——一個本應下線但未完全下線的策略允許黑客注入被高估的代幣，人為推高金庫份額價格後贖回套利。這不是智能合約代碼漏洞，而是運營流程未及時完成導致的問題。

Q3：Lazy Summer協議會怎麼樣？

Lazy Summer協議的未來將由Lazy Summer DAO決定。當前DAO正在推進恢復各金庫的提款與贖回流程。目前尚未公布最終的用戶賠付方案。