Summer.fi pausa sus bóvedas Lazy Summer tras un exploit estimado en 6 millones de dólares
El protocolo de rentabilidad automatizada Summer.fi confirmó un incidente de seguridad que afectó a sus bóvedas Lazy Summer denominadas en USDC, con una pérdida estimada en aproximadamente 6,04 millones de dólares.
El evento se ejecutó el 6 de julio de 2026 en una única transacción, lo que llevó al equipo a detener de inmediato todas las bóvedas del sistema y reducir sus límites de depósito a cero mientras se activa la revisión interna.
De acuerdo con el postmortem publicado por Summer.fi, la raíz del incidente no corresponde a una vulnerabilidad directa en el código, sino a un desajuste operativo durante el proceso de desvinculación de una estrategia antigua. La operación requirió de un préstamo flash de alrededor de 65,4 millones de dólares, utilizado principalmente como liquidez temporal para ejecutar la transacción final.
Las firmas de seguridad CertiK y Blockaid, junto con observadores de la cadena, señalaron que el atacante manipuló la lógica contable de valoración interactuando con la función totalAssets() del contrato Fleet Commander.
Tras acumular posiciones específicas en las bóvedas durante un periodo cercano a los tres meses, el ejecutor realizó depósitos por valor de aproximadamente 64,8 millones de dólares y consiguió rescatar alrededor de 70,9 millones. La diferencia entre ambos valores conforma la ganancia neta reportada en la red.
Los datos on-chain indicaron que los fondos extraídos fueron intercambiados por DAI en Curve antes de ser transferidos a direcciones bajo control del atacante. El protocolo también aclaró que una captura de pantalla que circuló mostrando una rentabilidad anual cercana al 2,08 millones por ciento respondió a un salto puntual en el cálculo del valor del activo neto en un solo bloque, sin representar retornos reales ni funcionales.
Tras la divulgación del incidente, el token nativo SUMR registró una contracción superior al 18 %. Las métricas disponibles ubican el valor total bloqueado del proyecto en aproximadamente 22 millones de dólares previos a la interrupción.
Las bóvedas Lazy Summer permanecen actualmente pausadas y sin capacidad de entrada. La gobernanza debe definir ahora los siguientes pasos, que incluyen la evaluación de posibles mecanismos de compensación para los usuarios expuestos y el calendario de reapertura para las estrategias no afectadas. La confirmación final sobre la recuperación de activos o los detalles técnicos completos sigue pendiente de publicación oficial por parte del proyecto.
