Summer.fi 懶惰夏季攻擊並非合約漏洞，而是 NAV 機制被利用

ChainCatcher 消息，Summer.fi 發布 Lazy Summer Protocol USDC 金庫攻擊事件分析報告。攻擊者在單筆原子交易中操縱兩個 USDC 金庫份額價格，提取約 604 萬美元存款人資金。攻擊核心在於金庫資產淨值（NAV）計算方式。

攻擊者向一個在 2025 年 11 月事件後被暫停但尚未完全移除的 Silo Ark 捐贈了仍保留舊有估值的代幣，導致金庫總資產虛增約 9.5%，份額價格被抬高，隨後以虛高價格贖回並從金庫真實流動性中提款。報告強調，該攻擊並非合約代碼漏洞，而是金庫下線流程中環節缺失所致------該 Ark 存款上限已被設為零，但仍在活躍資產集中被計入 NAV。

攻擊者提前三個月通過多個錢包預謀積累了所需代幣，並將部分獲利通過 Tornado Cash 轉移。事件發生後，Guardian Multisig 已暫停所有鏈上金庫並將存款上限設為零。Lazy Summer DAO 將在未來數日討論受影響用戶補償方案及金庫重啟計劃。