Summer.fi遭闪电贷攻击，600万美元DAI失窃

核心提要：Summer.fi平台遭遇严重安全漏洞，攻击者利用闪电贷操纵流动性，导致约600万美元DAI被转移。事件暴露金库系统在跨协议交互中的脆弱性，追回难度受稳定币特性影响。

DeFi平台Summer.fi遭闪电贷攻击，逾六百万美元DAI被转移

以太坊生态内的收益聚合平台Summer.fi近期遭受针对性攻击，攻击者通过大规模闪电贷操作扭曲了其金库与流动性池之间的交互逻辑，造成约600万美元价值的DAI资产被非法提取。

自动化路由机制成安全盲区，外部协议调用引发连锁反应

据Blockaid监测报告，此次攻击针对的是Lazy Summer协议及其自动金库架构，该系统依赖于多链策略调度与守护者协调机制来优化收益分配。攻击者借助约6540万美元的USDC与USDT闪电贷，经由Morpho金库、Curve池及平台内部金库的复杂交互，实现资金形态转换，并最终将所得全部兑换为DAI并转入攻击者控制地址。

流动性操纵路径揭示金库模型深层缺陷

攻击行为并非传统钱包入侵，而是基于对协议间流动性状态的精准操控。闪电贷允许攻击者在单笔交易中借用巨额资金，利用短暂的价格偏差或会计输入异常进行套利，随后在交易结束前完成偿还，从而规避监管。

此次事件凸显当前金库系统对跨协议流动性假设的过度依赖，尤其在特定时间窗口内对池子余额和赎回算法的敏感性。攻击者正是利用这一瞬时失衡，在不触发警报的情况下完成价值转移。

尽管DAI具备可追踪性，但因其非中心化属性，无法直接冻结，追索难度显著上升。目前资金动向取决于是否流入交易所、跨链桥或混币服务，进一步增加了追回不确定性。

此类手法与近期其他高调攻击如SquidRouterModule事件高度相似——均将盗取资产转化为DAI作为洗钱第一阶段，反映出稳定币转换已成为主流攻击路径的一部分。

DeFi金库架构面临持续压力测试，系统性风险浮现

本次事件再度加剧市场对自动化收益协议安全性的担忧。随着2026年全球范围内的多起重大协议攻击爆发，金库、跨链桥、预言机与私钥管理等核心组件正接受前所未有的审查。

相较于单一借贷协议，收益聚合器因涉及多层合约调用、外部策略集成与动态记账机制，其风险敞口更广。一旦某一环节存在临时流动性扭曲，便可能引发连锁式损失。

当务之急是尽快确认受影响的金库实例、暂停相关功能、排查故障节点，并评估现有存款与提款机制的安全边界。同时，需建立实时监控机制，防止攻击者在未被识别前转移剩余资金。