Exploit de Comptabilité du Vault Lazy Summer de Summer.fi

Le 6 juillet 2026, Summer.fi — le front-end du système de rendement on-chain appelé Lazy Summer Protocol — a été exploité pour environ 6 millions de dollars après qu'un attaquant a utilisé un important flash loan pour manipuler la comptabilité des parts de l'un de ses vaults USDC et racheter bien plus de valeur qu'il n'avait été déposé.

Ce qui s'est passé

Le Lazy Summer Protocol exploite des LazyVaults qui acheminent automatiquement les dépôts vers des sources de rendement DeFi telles qu'Aave, Morpho et Curve. L'attaquant a contracté un flash loan d'environ 65,4 millions de dollars, principalement en USDC et USDT provenant de Morpho, et l'a fait circuler à travers des places de liquidité comme Curve afin de créer des déséquilibres temporaires. Ces déséquilibres ont faussé la logique de prix de part et de désallocation du vault LazyVault_LowerRisk_USDC, permettant à l'attaquant de gonfler artificiellement les actifs totaux du vault puis de racheter des parts pour bien plus qu'elles ne valaient — obtenant, selon les rapports, un rachat d'environ 70,9 millions de dollars contre le capital emprunté, le tout en une seule transaction atomique. Le profit net d'environ 6 millions de dollars a été converti en DAI sur Curve et transféré vers une adresse contrôlée par l'attaquant ; les analystes on-chain ont noté que le portefeuille d'origine avait été financé via FixedFloat sur le réseau Base. Summer.fi détenait environ 22 millions de dollars de valeur totale verrouillée avant l'incident.

Conséquences

La société de sécurité Blockaid a été la première à signaler la transaction de drainage, PeckShield et CertiK ayant également signalé une activité suspecte et publié l'adresse de l'attaquant ainsi que le contrat d'exploit. Summer.fi a suspendu tous les vaults du Lazy Summer Protocol pour contenir l'incident et a commencé à enquêter sur la faille comptable. Le token SUMR du protocole a chuté de plus de 18 % dans les heures qui ont suivi la découverte de l'exploit. À la date des rapports, les fonds volés n'avaient pas été récupérés, et l'incident est classé comme une perte en cours. Dans les jours suivant l'exploit, des traceurs on-chain ont signalé que l'attaquant avait commencé à blanchir le butin via Tornado Cash — échangeant les DAI volés contre de l'ETH via Uniswap avant de les acheminer vers le mixeur —, rendant la récupération de plus en plus improbable.

Le 8 juillet 2026, la Lazy Summer Foundation a publié un post-mortem détaillé — dont l'analyse on-chain a été reproduite de façon indépendante par des contributeurs externes — qui a requalifié la cause profonde : ni un bug de code ni une clé volée, mais un acte de contagion différé. Lors d'un processus de retrait, un marché de rendement (un « Ark ») avait vu son plafond de dépôt fixé à zéro ; or, ramener le plafond à zéro ne bloque que les nouvelles entrées et ne retire pas le marché de l'ensemble comptabilisé dans le prix du vault. L'attaquant a fait don d'un jeton fortement surévalué à cet Ark toujours comptabilisé, gonflant la valeur déclarée du vault d'environ 9,5 % sans aucune contrepartie réelle, puis a racheté des parts au prix gonflé — le paiement étant assemblé à partir des actifs véritablement liquides du vault, c'est-à-dire le capital des autres déposants. L'actif donné était un jeton du vault Silo « Varlamore USDC Growth » qui portait une valorisation on-chain périmée depuis l'effondrement de Stream Finance en novembre 2025 — dont le stablecoin xUSD s'est effondré d'environ 77 % après une perte de 93 millions de dollars —, laissant la valeur erronée on-chain pendant environ huit mois. Le post-mortem a chiffré la perte affinée à environ 6,04 millions de dollars (environ 5,64 millions provenant du vault USDC à moindre risque et 0,40 million de celui à risque plus élevé), a indiqué que l'attaquant avait passé près de trois mois à accumuler les actifs nécessaires, et a noté qu'une partie des gains en DAI a été acheminée via Tornado Cash, un mouvement que l'équipe a interprété comme le signe d'une intention limitée de restituer les fonds.

Le 15 juillet 2026, Summer.fi a confirmé qu'elle cesserait ses activités, expliquant que l'exploit avait supprimé la marge de manœuvre dont l'équipe avait besoin pour se reconstruire après un coup qui a frappé à la fois les utilisateurs, l'écosystème du protocole et son propre capital. L'application restera en ligne jusqu'au 31 août 2026, tandis que le Lazy Summer Protocol — gouverné par la Lazy Summer DAO — mène les processus on-chain nécessaires pour rétablir les retraits et les rachats sur l'ensemble des vaults, y compris les deux vaults USDC exploités. Cette fermeture fait de Summer.fi l'un des cas les plus nets de l'année où un exploit DeFi de taille moyenne se révèle fatal : non parce que la perte était irrécupérable en soi, mais parce qu'elle a frappé un protocole dépourvu de la trésorerie ou de la marge nécessaire pour l'absorber.

Pourquoi c'est important

Summer.fi est une nouvelle entrée dans le mode de défaillance dominant de la DeFi en 2026 : la manipulation de la comptabilité des parts de vault financée par des flash loans. La même primitive — emprunter à bas coût, fausser un ratio interne d'actifs par part, puis racheter le gonflement — a vidé Bunni via une faille d'arrondi dans sa mathématique de liquidité et sous-tendait les attaques par donation ERC-4626 contre Resupply et Thetanuts. Elle est survenue la même semaine qu'Edel Finance, un autre exploit de tarification de vault financé par flash loan, soulignant une leçon brutale pour les routeurs de rendement auto-composés : un agrégateur n'est jamais plus sûr que l'hypothèse comptable la plus faible de tout vault qu'il touche, et la mathématique du prix de part doit rester solide même lorsqu'un attaquant peut momentanément mobiliser des dizaines de millions de liquidité empruntée.