Vụ tấn công Lazy Summer Protocol của Summer.fi lợi dụng cơ chế NAV, không phải lỗ hổng hợp đồng thông minh
Tóm tắt thị trường bằng AI
Kho USDC của Lazy Summer Protocol thuộc Summer.fi đã mất khoảng 6,04 triệu USD sau khi một kẻ tấn công thao túng NAV và định giá chứng chỉ quỹ thông qua một Ark đã bị tạm dừng nhưng chưa bị loại bỏ, trong đó tài sản vẫn được tính vào NAV. Dù không phải là lỗi hợp đồng thông minh, sự cố này làm nổi bật các lỗ hổng về vận hành và kiểm soát rủi ro trong việc vô hiệu hóa kho và các đầu vào định giá. Tất cả các kho onchain đã bị tạm dừng và giới hạn nạp tiền được đặt về 0, tạo ra sự bất định trong ngắn hạn liên quan đến việc người dùng rút tiền và khả năng bồi thường.
Mức ảnh hưởng
● Trung bình
Tài sản bị ảnh hưởng
US/USDT+5.83%
Quan điểm AI · US/USDTQuan điểm AI
▼ Giá giảm
Khám phá ngay
⚠️ Nhận định từ AI được tổng hợp từ tin tức và chỉ có giá trị tham khảo. Đây không phải là lời khuyên đầu tư và không thể hiện quan điểm của BingX. Đầu tư luôn đi kèm rủi ro. Vui lòng giao dịch có trách nhiệm.
Theo ChainCatcher, Summer.fi đã công bố báo cáo phân tích vụ tấn công nhắm vào kho USDC của Lazy Summer Protocol. Kẻ tấn công đã thao túng giá chứng chỉ quỹ (share) của hai kho USDC trong một giao dịch nguyên tử (atomic transaction), rút khoảng 6,04 triệu USD từ tiền của người gửi.
Trọng tâm của vụ việc nằm ở cách kho tính giá trị tài sản ròng (NAV). Kẻ tấn công chuyển tặng các token có định giá lỗi thời vào một Silo Ark đã bị tạm dừng từ sự cố tháng 11/2025 nhưng chưa được loại bỏ hoàn toàn. Việc này khiến tổng tài sản của kho bị thổi phồng khoảng 9,5%, kéo giá share tăng theo. Sau đó, kẻ tấn công quy đổi (redeem) share theo mức giá đã bị thổi phồng và rút tiền từ thanh khoản thực của kho.
Báo cáo nhấn mạnh đây không phải lỗi của hợp đồng thông minh, mà là lỗ hổng trong quy trình vô hiệu hóa kho: dù hạn mức nạp của Ark đã được đặt về 0, tài sản của Ark vẫn được đưa vào phép tính NAV. Summer.fi cho biết kẻ tấn công đã chuẩn bị trước khoảng ba tháng, gom các token cần thiết qua nhiều ví và đã rửa một phần số tiền thu được thông qua Tornado Cash.
Sau sự cố, Guardian Multisig đã tạm dừng toàn bộ các kho onchain và đặt hạn mức nạp về 0. Lazy Summer DAO dự kiến sẽ thảo luận kế hoạch bồi thường cho người dùng bị ảnh hưởng và các đề xuất khôi phục kho trong những ngày tới.
