→ Предпринятые действия на момент написания поста
→ Печень сервисов, с которыми взаимодействовал злоумышленник
→ Хронология развития событий
→ Заметки аналитика
→ Заключение по инциденту
→ Адреса злоумышленника
→ Транзакции, аффилированные с эксплойтом

Получить консультацию экспертов AML Crypto

6 июля 2026 года в 05:17:59 UTC злоумышленник провёл в сети Ethereum единую атомарную транзакцию, в результате которой два USDC-хранилища Lazy Summer Protocol - Lower Risk и Higher Risk - потеряли около $6,04 млн средств вкладчиков. Атакующий искусственно завысил стоимость долей хранилищ с помощью переоценённых токенов Silo Varlamore, а затем вывел реальную ликвидность из других позиций протокола.

Команда AML Crypto восстановила движение похищенных средств в Bholder.

https://bholder.amlcrypto.io/shared/699acc2f35864dcc8fb873cb89d4d24c

Потерпевший:

Lazy Summer Protocol (платформа Summer.Fi)
Краткая справка:

Summer.fi — DeFi-платформа, которая к 2026 году сосредоточилась на развитии Lazy Summer Protocol — ончейн-протокола автоматизированных доходных хранилищ. Пользователи вносят активы, например USDC, в так называемые Lazy Vaults, после чего протокол распределяет ликвидность между заранее одобренными DeFi-стратегиями и при необходимости ребалансирует позиции для получения доходности с учётом заданного уровня риска. Отдельные направления размещения капитала внутри системы называются ARKs.

Ранее Summer.fi также предоставляла сервис SumSummer.fimer.fi Pro для кредитования, заимствования и управления позициями в сторонних протоколах. Однако с 12 февраля 2026 года этот интерфейс был переведён в режим просмотра, а управление такими позициями перенесено в DeFi Saver. После этого основным продуктом Summer.fi стал именно Lazy Summer Protocol.
Дата инцидента:

2026-07-06 05:17:59 UTC
Суть инцидента:

Злоумышленник воспользовался тем, что один из выводимых из эксплуатации инвестиционных модулей — Ark — всё ещё учитывался при расчёте стоимости двух USDC-хранилищ Lazy Summer.

Атакующий заранее купил почти обесценившиеся токены Silo Varlamore, которые внутри системы продолжали оцениваться значительно выше своей реальной стоимости. Затем он взял флеш-кредит примерно на $65 млн, внёс USDC в хранилища и перевёл переоценённые токены непосредственно в проблемный Ark. Из-за этого протокол ошибочно решил, что стоимость активов хранилища резко выросла, а вместе с ней увеличилась и цена его долей.

После этого злоумышленник погасил свои доли уже по искусственно завышенной цене. Выплата производилась не проблемными токенами, а настоящими ликвидными USDC, принадлежавшими вкладчикам. Получив средства, атакующий вернул флеш-кредит и сохранил около $6,04 млн прибыли. Вся операция затронула два USDC-хранилища и была выполнена в рамках одной транзакции.

Предпринятые действия на момент написания поста

По состоянию на 10 июля 2026 года после атаки были предприняты следующие меры:

Адреса злоумышленника были размечены в блокчейн-аналитических системах. Компания AML Crypto также идентифицировала и пометила основной адрес атакующего, контракт, использованный для проведения атаки, а также связанные с ними адреса.
Информация об адресах была передана в IDM. В систему были направлены сведения об адресах злоумышленника и связанных транзакциях для дальнейшего мониторинга и реагирования.
Новые депозиты в затронутые хранилища были остановлены. Примерно через полтора часа после атаки Block Analitica установила нулевые лимиты на внесение средств в два пострадавших USDC-вольта.
Работа хранилищ Lazy Summer Protocol была приостановлена. Guardian Multisig остановил волты в сетях Ethereum, Base, Arbitrum и Sonic, чтобы исключить повторение атаки через аналогичную конфигурацию Ark. В HyperEVM приостановка через Guardian не сработала из-за отсутствия необходимой роли, однако лимиты депозитов там уже были установлены на ноль.
К расследованию была привлечена SEAL 911. Специалисты начали совместно с Summer.fi анализировать механику атаки и отслеживать происхождение использованных злоумышленником средств. В расследовании и трассировке также участвовали или оказывали содействие Blockaid, CertiK, PeckShield, Cyvers и другие команды.
Была предпринята попытка связаться со злоумышленником. С адреса деплоера Lazy Summer Protocol атакующему отправили ончейн-сообщение с предложением установить контакт. Публичных подтверждений ответа злоумышленника нет.
Переоценённые токены были удалены из расчёта стоимости хранилища. Lazy Summer Foundation перевела токены Silo Varlamore из Lower-Risk USDC Vault на свой мультисиг. Это устранило искусственное искажение отображаемой стоимости активов и цены долей.
Продолжено отслеживание похищенных средств. Адрес атакующего и контракт эксплойта были опубликованы, чтобы биржи, аналитические сервисы и другие участники рынка могли отмечать связанную активность. При этом часть средств была переведена через промежуточный адрес в Tornado Cash, что существенно осложнило дальнейшую ончейн-трассировку.
Пользователи были предупреждены через интерфейс Summer.fi. В интерфейсе отобразили информацию о приостановке протокола и статусе инцидента. Команда также заявила о продолжении внутреннего технического расследования, подтверждении первопричины атаки и подготовке данных для решений DAO.
DAO начала рассматривать дальнейшие действия. На обсуждение были вынесены условия возобновления работы незатронутых хранилищ, порядок возврата оставшегося капитала пользователям и возможное исключение долей злоумышленника из будущих расчётов. На момент публикации окончательное решение о компенсациях принято не было.

Коммуникация со злоумышленником:

По поводу взлома USDC Vault в протоколе Lazy Summer, произошедшего 6 июля 2026 года в 05:17 UTC. Это адрес деплойера Summer. Можем обсудить ситуацию в чате Blockscan? [ссылка]

Печень сервисов, с которыми взаимодействовал злоумышленник

Stargate

Характер связи:

прямой, со вторым адресом, участвовавшим в отмывании похищенных средств.
Причина обращения:

каждая кроссчейн-операция Stargate связана с транзакцией в исходной сети и транзакцией выплаты в целевой сети. Кроме того, интерфейс Stargate позволяет пользователю указать произвольный адрес получателя. В связи с этим сведения о соответствующих операциях могут позволить установить исходную блокчейн-сеть, адрес кошелька, с которого были внесены средства, исходные TxID, LayerZero GUID, указанный пользователем адрес получателя и возможный адрес возврата средств. Просим также предоставить информацию о других операциях, связанных с тем же исходным адресом, и любые доступные технические сведения об инициаторе переводов.
Контакты для обращения:

notices@stargate.finance. Этот адрес указан в официальных Terms of Use Stargate для направления юридически значимых уведомлений и обращений.

Uniswap

Характер связи:

прямой, с обоими адресами, участвовавшими в эксплойте.
Причина обращения:

установленные транзакции могли быть инициированы через официальный веб-интерфейс Uniswap, Uniswap Wallet либо API Uniswap Labs. Согласно Privacy Policy, при подключении некастодиального кошелька Uniswap Labs регистрирует публичный адрес кошелька и может собирать ограниченные технические сведения, включая данные localStorage, mobile device ID, cookies, тип и версию браузера, операционную систему, язык устройства или браузера, а также referring/exit pages.
Контакты для обращения:

Официальные и юридические обращения: legal@uniswap.org
Обращения в службу поддержки: support@uniswap.org
Обращения по вопросам хранения и обработки данных: privacy@uniswap.org
Форма обращения: https://support.uniswap.org/hc/en-us/requests/new
Почтовый адрес: Universal Navigation, Inc., 228 Park Ave S, PMB 44753, New York, NY 10003, USA.

Curve Fi

Характер связи:

прямой, c одним из адресов, участвовавшем в эксплойте и с адресом, использованным при отмывании похищенных средств.
Причина обращения:

выявленные операции могли быть инициированы через официальный веб-интерфейс Curve Finance. Согласно действующей Privacy Policy Curve, при использовании сайта могут собираться IP-адрес, сведения об операционной системе устройства, cookies, referrer URL, объём переданных данных, посещённые страницы, тип и версия браузера, интернет-провайдер, используемые протоколы и другие технические сведения.
Контакты для обращения:

enquiries@curve.fi — основной адрес, указанный в действующих Terms и Privacy Policy Curve для официальных обращений и вопросов обработки данных.
security@curve.finance — официальный контакт для обращений по вопросам безопасности и срочной эскалации инцидента.

FixedFloat

Характер связи:

прямой. Горячий кошелёк FixedFloat 0xba3fe475f4617944c6e56d33cd7c2a841aaa8bca предоставил ликвидность в сети Base на адреса 0x34b5f9478fc7bc8c3f065d940afd5cae1890387b и 0x5864a889076b9b4d2929f2e7b990c8076eea3c3c, предположительно контролируемые злоумышленником. Впоследствии полученные средства были направлены в Gas.zip и использованы для финансирования комиссий адресов, задействованных в подготовке и осуществлении эксплойта Lazy Summer Protocol.
Причина обращения:

Согласно Privacy Policy, FixedFloat автоматически собирает IP-адрес, тип браузера, интернет-провайдера, referring/exit pages, дату и время посещения, cookies, log files, tags и pixels. Поэтому также просим предоставить IP-адреса, временные метки, данные браузера и интернет-провайдера, cookie- и session-идентификаторы, сведения об устройстве, историю обращений в поддержку и информацию о других заявках, связанных с теми же техническими идентификаторами, адресами или контактными данными.
Контакты для обращения:

legal@fixedfloat.com — запросы правоохранительных органов;
compliance@fixedfloat.com — вопросы AML/compliance и приостановленных операций;
help@fixedfloat.com — обращения потерпевших в связи с преступлениями;
support@fixedfloat.com — общие обращения и поддержка.

Gaz Zip

Характер связи:

прямой. Адреса 0x34b5f9478fc7bc8c3f065d940afd5cae1890387b и 0x5864a889076b9b4d2929f2e7b990c8076eea3c3c, предположительно контролируемые злоумышленником, направляли ETH на депозитный адрес Gas.zip 0x2a37D63EAdFe4b4682a3c28C1c2cD4F109Cc2762. После обработки депозитов горячий кошелёк Gas.zip 0x5babe600b9fcd5fb7b66c0611bf4896d967b23a1 перечислил ETH на пять адресов, использовавшихся для накопления токенов Silo Varlamore: 0xd39d1733a03f940ce47cec8982e45e6964d29fa1 0xe5bff5a3752d48606d5f4ff19954138fe5e656b1 0x11946f3bb1e67b8f4e50cb01ea1fba7cec7ac60e 0x14ec7a28c020283eb53f302e8dbcc025cb49baf8 0x341a58a1ad7aa1fee212719b0c2d8e4c8e0fd195 Накопленные токены впоследствии были переведены на exploit-контракт 0x0514f827c129c16418a0933e03c99a6af982fc61 и использованы при эксплуатации Lazy Summer Protocol.
Причина обращения:

сервис Gas.zip был использован для распределения средств на адреса, непосредственно связанные с подготовкой эксплойта. Согласно технической документации Gas.zip, депозитная транзакция содержит calldata, в котором указываются целевые сети и адрес получателя, причём адрес получателя может отличаться от адреса, с которого был внесён депозит. Следовательно, внутренние данные Gas.zip могут позволить установить соответствие между входящими депозитами и исходящими выплатами, выбранные пользователем сети и адреса назначения, а также другие операции, совершённые тем же инициатором.
Контакты для официальных обращений:

privacy@gas.zip — официальный адрес для запросов, касающихся персональных данных и технической информации.

Хронология развития событий

Этап 0: Накопление токенов Silo Varlamore

2026-03-30 9:31:23

вывод токенов (накопление) Silo Varlamore на адрес 0x11946f3bb1e67b8f4e50cb01ea1fba7cec7ac60e

с 2026-03-30 2:39:35 по 2026-03-30 3:59:35

вывод токенов (накопление) Silo Varlamore на адрес 0x14ec7a28c020283eb53f302e8dbcc025cb49baf8

2026-04-09 4:06:35

вывод токенов (накопление) Silo Varlamore на адрес 0xe5bff5a3752d48606d5f4ff19954138fe5e656b1

2026-04-09 4:18:11

вывод токенов (накопление) Silo Varlamore на адрес 0xd39d1733a03f940ce47cec8982e45e6964d29fa1

2026-04-09 12:00:11

вывод токенов (накопление) Silo Varlamore на адрес 0x341a58a1ad7aa1fee212719b0c2d8e4c8e0fd195

Этап 1: Вывод средств из FixedFloat для оплаты комиссий и осуществления экслойта

2026-04-06 15:43:35

вывод средств из горячего кошелька FixedFloat на свой аффилированный адрес

2026-04-06 15:46:25