Summer.fi har nettopp blitt rammet av et flash-lån på 65 millioner dollar

Seks millioner dollar. Det er beløpet som mangler fra Summer.fi-plattformens «Lazy Summer»-hvelv etter sikkerhetsbruddet mandag morgen, og mekanismen bak det er nesten elegant i sin enkelhet når man bryter den ned.

Blockaid oppdaget det først, varslet uttaket i sanntid og publiserte angriperens adresse og de berørte kontraktene før Summer.fi i det hele tatt hadde bekreftet noe offentlig. Dette er i ferd med å bli standardmønsteret for 2026: sikkerhetsselskaper oppdager det før protokollen gjør det.

Her er hva som skjedde, basert på analysene fra CertiK og Cyvers. Angriperen tok opp et «flash-lån» på 65,4 millioner dollar i USDC og USDT – penger som ble lånt og tilbakebetalt i samme transaksjon, så ingen reell kapital sto på spill. De satte inn 64,8 millioner dollar i Lazy Summers hvelv, forhåndslastet en posisjon i Silo: Varlamore USDC Growth-hvelvet, og «donerte» deretter eiendeler til Ark-kontrakten midt i transaksjonen. Den donasjonen forvrengte måten FleetCommander – kontrakten som sporer totalAssets() for hvert hvelv – beregnet hva som faktisk befant seg der. Med de forvrengte tallene innløste angriperen 70,9 millioner dollar. Innskudd minus innløsning, minus tilbakebetalingen av flash-lånet: omtrent 6 millioner dollar i ren fortjeneste, byttet til DAI på Curve og flyttet til en ny lommebok.

Ingen administratornøkler, ingen multisig-kompromittering, ingenting eksotisk. Bare en kontrakt som stolte på et tall den ikke burde ha gjort det.

Summer.fi (tidligere kjent som Oasis.app) bekreftet sikkerhetsbruddet og satte alle vaulter i Lazy Summer Protocol på pause mens de undersøker saken. En tråd redegjorde for mekanikken i detalj, inkludert opplysningen om at den viste APY-en for den berørte vaulten på et tidspunkt steg til noe i retning av 2,08 millioner prosent – noe som ærlig talt burde være et rødt flagg som er innebygd direkte i alle DeFi-brukergrensesnitt på dette tidspunktet. Hvis avkastningen din noen gang viser syv sifre, har noe gått galt.

SUMR falt med omtrent 18% på nyheten. Protokollen hadde en TVL på rundt 22 millioner dollar før angrepet, så dette var ikke en liten skade.

Og det er ikke en isolert hendelse – det er den andre utnyttelsen i juli, og bare i juni gikk 75,9 millioner dollar tapt gjennom 40 separate hack. CryptoRank anslår de totale DeFi-tapene så langt i 2026 til et sted nord for 900 millioner dollar. Hvert eneste av disse følger det samme mønsteret: lån penger du ikke har, bryt en forutsetning som koden bygger på, og stikk av før noen oppdager det. Revisjoner overser stadig denne typen feil fordi det egentlig ikke er en feil, men et designvalg (å stole på totalAssets() uten kryssjekking) som først kan utnyttes når noen kommer på å kombinere det med et flash-lån som er stort nok.

Det ironiske er at Summer.fi delvis markedsfører seg selv som det sikrere alternativet, det som er mer «institusjonelt». Det er nettopp dette salgsargumentet som blir satt på den hardeste prøven når noe slikt skjer.

Hva gjør det ovenstående så åpenbart AI-generert?

• Rytmen er for ren, jevne avsnittlengder, ryddige overganger, ingen virkelig rot eller sidespor.
• «Det er i ferd med å bli standardmønsteret» og «artisten tidligere kjent som Oasis.app» leses som innskutt personlighet snarere enn en naturlig stemme.
• Avslutningen («det er akkurat det salgsargumentet...») er en ryddig oppsummering av hovedpoenget, noe som er et klassisk tegn på AI.
• Litt for mye forklaring av mekanismer som et kryptopublikum allerede forstår (flash-lån, hva TVL betyr).

Det som slår meg, er at Summer.fi på en måte selger seg selv som det voksne alternativet innen DeFi-avkastning. Antar at den salgspresentasjonen nettopp har møtt sin første virkelige test.