Summer.fi, 65 milyon dolarlık bir flaş kredi nedeniyle büyük bir darbe aldı

Altı milyon dolar. Pazartesi sabahı yaşanan güvenlik açığı sonrasında Summer.fi’nin Lazy Summer kasalarından kaybolan miktar budur ve bu olayın ardındaki mekanizma, ayrıntılı olarak incelendiğinde ne kadar basit göründüğü açısından neredeyse zarif denebilir.

Blockaid bunu ilk fark eden oldu; Summer.fi henüz kamuoyuna herhangi bir açıklama yapmadan önce, para akışını gerçek zamanlı olarak tespit etti ve saldırganın adresini ile etkilenen sözleşmeleri yayınladı. Bu, 2026 için standart bir durum haline geliyor: güvenlik firmaları, protokolün kendisinden önce durumu tespit ediyor.

CertiK ve Cyvers’in analizlerine göre olanlar şöyle: Saldırgan, USDC ve USDT cinsinden 65,4 milyon dolarlık bir flaş kredi aldı; bu, aynı işlem içinde ödünç alınıp geri ödenen bir paraydı, dolayısıyla gerçek bir sermaye riski söz konusu değildi. Saldırgan, Lazy Summer'ın kasalarına 64,8 milyon dolar yatırdı, Silo: Varlamore USDC Growth kasasında önceden bir pozisyon açtı, ardından işlem sırasında varlıklarını Ark sözleşmesine "bağışladı". Bu bağış, her kasanın totalAssets() değerini takip eden FleetCommander sözleşmesinin, kasanın içinde gerçekte ne olduğunu hesaplama şeklini bozdu. Rakamlar çarpıtılınca saldırgan 70,9 milyon doları geri aldı. Yatırılan tutardan geri alınan tutar ve flaş kredinin geri ödemesi çıkarıldığında geriye yaklaşık 6 milyon dolarlık net kâr kaldı; bu tutar Curve'de DAI'ye dönüştürüldü ve yeni bir cüzdana aktarıldı.

Yönetici anahtarları yok, çoklu imza ihlali yok, sıra dışı bir durum yok. Sadece güvenmemesi gereken bir rakama güvenen bir sözleşme.

Summer.fi (eski adıyla Oasis.app), bu istismarı doğruladı ve soruşturma süresince Lazy Summer Protokolü kapsamındaki tüm kasaları askıya aldı. Bir forum başlığı, mekanizmayı ayrıntılı olarak açıkladı; buna, bir noktada etkilenen kasanın görüntülenen APY’sinin 2,08 milyon yüzde gibi bir seviyeye sıçradığı detayı da dahildi. Dürüst olmak gerekirse, bu durum şu anda her DeFi ön yüzüne doğrudan entegre edilmesi gereken bir uyarı işareti olmalı. Getiriniz yedi haneli bir rakam gösteriyorsa, bir şeyler ters gitmiştir.

SUMR, bu haberin ardından yaklaşık%18 değer kaybetti. Saldırıdan önce protokolün TVL'si yaklaşık 22 milyon dolardı; dolayısıyla bu, küçük bir kayıp değildi.

Ve bu münferit bir olay değil — Temmuz ayındaki ikinci istismar vakası ve sadece Haziran ayında 40 ayrı saldırıda 75,9 milyon dolarlık kayıp yaşandı. CryptoRank, 2026 yılının şu ana kadarki toplam DeFi kayıplarını 900 milyon doların biraz üzerinde tahmin ediyor. Bunların her biri aynı senaryoyu izliyor: sahip olmadığınız parayı ödünç alın, kodun dayandığı bir varsayımı çürütün, kimse fark etmeden ortadan kaybolun. Denetimler bu tür hataları sürekli gözden kaçırıyor çünkü bu aslında bir hata değil, bir tasarım kararıdır (çapraz kontrol yapmadan totalAssets() işlevine güvenmek); bu durum, ancak birisi bunu yeterince büyük bir flaş krediyle birleştirmeyi düşündüğünde istismar edilebilir hale gelir.

İronik olan ise, Summer.fi’nin kendisini kısmen daha güvenli, daha “kurumsal düzeyde” bir seçenek olarak pazarlamasıdır. İşte tam da bu tür bir durum meydana geldiğinde en sert şekilde sınanan şey de budur.

Yukarıdakilerin bu kadar bariz bir şekilde yapay zeka tarafından üretildiğini gösteren nedir?

• Ritim çok düzgün, paragraf uzunlukları sabit, geçişler düzenli; gerçek bir dağınıklık ya da konudan sapma yok.
• "Bu artık standart bir kalıp haline geliyor" ve "eskiden Oasis.app olarak bilinen sanatçı" ifadeleri, doğal bir ses tonundan ziyade, metne sonradan eklenmiş bir kişilik gibi okunuyor.
• Son cümle (“işte tam da bu argüman...”) düzenli bir tez özeti niteliğinde ve bu da klasik bir AI belirtisidir.
• Kripto dünyasına aşina bir kitlenin zaten bildiği mekanizmaların (flaş krediler, TVL'nin anlamı) biraz fazla açıklanması.

Beni şaşırtan şey, Summer.fi’nin kendisini DeFi getirisi alanında “yetişkinlere yönelik seçenek” olarak pazarlaması. Sanırım bu satış konuşması ilk gerçek sınavıyla karşılaştı.