Summer.fi 在遭遇604万美元金库攻击后逐步关闭

Summer.fi 宣布关停，闪电贷攻击致损逾 600 万美元

Summer.fi 宣布计划逐步停止运营。此前，一次针对 Lazy Summer Vaults 的闪电贷攻击通过操纵协议的资产估值流程，从以太坊上的两个 USDC Vault 中提取了约 604 万美元。Summer.fi 的界面、客户支持和 Discord 频道将持续开放至 2026 年 8 月 31 日。底层的 Lazy Summer Protocol 不会在该日期自动关闭，因为它由 Lazy Summer DAO 单独治理。在官方关停公告中，Summer.fi 表示此次损失导致团队没有足够的资金来支持恢复工作、基础设施和持续运营。

攻击发生在本已衰退的协议上

Summer.fi 已运营约七年，并于 2021 年 6 月脱离 Maker Foundation 独立。据报道，在此期间有超过 5 万人使用过 Oasis.app 和 Summer.fi。Lazy Summer Protocol 上线后迅速扩张，前九个月总锁仓价值（TVL）接近 2 亿美元。然而，在关停公告发布之前，其资产基础已经大幅下降。Lazy Summer Protocol 的 DefiLlama 数据显示，**快照中 TVL 约为 1280 万美元。该追踪器还记录到，季度协议总收入从 2025 年第三季度的约 21.83 万美元下降至 2026 年第二季度的 4.742 万美元。TVL 的下降不应等同于用户流失，该指标可能因提款、**价格波动、金库暂停以及资产估值方式的变化而改变。Summer.fi 表示，团队自身资本中有相当一部分存放在受影响的金库中，因此这次攻击既损害了用户存款，也侵蚀了维持项目运营的储备金。

过时的 Ark 估值让攻击成为可能

攻击者瞄准的是 Lazy Summer Vaults 计算净资产价值（NAV）的方式，而非入侵管理密钥。Lazy Summer Vaults 将资金分配到被称为 Arks 的策略适配器中。其中一项策略持有 Silo Varlamore USDC Growth Vault **，这些**携带过时的估值。该 Ark 原本已在逐步淘汰，其存款限额已降至零，但并未从活跃的 FleetCommander 集合中移除，这意味着其报告资产仍在影响金库的 NAV。攻击者将估值过时的 Silo **捐赠给该 Ark，人为提高了金库的报告价值。虚高的份额价格随后使攻击者能够从其他策略（包括 Morpho、Spark 和 Sky）中赎回真实的 USDC 流动性。根据 Summer.fi 的官方攻击复盘报告，攻击者在一笔原子交易中使用了超过 6500 万美元的闪电贷完成攻击。低风险 USDC Vault 损失约 564 万美元，高风险 Vault 损失约 40 万美元。Summer.fi 表示并未发现新引入的智能合约编码错误，事件源于不完整的策略关停流程，导致该 Ark 仍存在于活跃估值系统中。团队调查还显示，与攻击者关联的钱包在攻击发生前数月便开始积累相关 Silo **。偿还闪电贷后，攻击者将剩余收益兑换为 DAI，部分资金随后经由 Tornado Cash 转移。

协议未来由 DAO 接管

Summer.fi Labs 正在关停，但 Lazy Summer Protocol 仍将由 DAO 控制。攻击发生后，金库被暂停，存款限额被设为零。DAO 目前正在完成恢复提款和份额赎回所需的程序，这些功能将在就绪后出现在 Summer.fi 界面中。团队尚未承诺对受影响的存款人进行全额赔偿。**恢复计划以及协议的长期未来都需要 DAO 治理决策。DefiLlama 将该事件归类为以太坊上的协议逻辑捐赠攻击。它还报告协议累计收入约为 23.205 万美元，这意味着 604 万美元的攻击规模大约是协议报告生命周期收入的 26 倍。这一对比并不代表 Summer.fi 的完整资产负债表，但说明了相对于协议产生的收入而言，损失的规模之大。该事件发生在更广泛的加密安全损失背景之下。一份 2026 年 5 月的加密黑客报告记录了 41 起事件共计 8420 万美元的损失。Summer.fi 的界面和支持渠道将持续开放至 8 月 31 日。此后，提款、补救措施以及 Lazy Summer Protocol 的未来职责将交由 DAO 承担。