Bẫy APY 2.000.000%: Giao thức DeFi Summer.fi mất 6 triệu USD vì tấn công flash loan

Summer.fi bị tấn công flash loan, thiệt hại 6 triệu USD

Giao thức DeFi đa chuỗi Summer.fi xây dựng trên Ethereum đã trở thành nạn nhân của một cuộc tấn công flash loan vào sáng sớm thứ Hai, với tổng thiệt hại lên đến 6 triệu USD bị rút khỏi vault được xếp loại rủi ro thấp.

Dấu hiệu bất thường: APY tăng vọt 2.000.000%

Trước khi sự cố xảy ra, các quan sát viên on-chain ghi nhận mức APY tăng đột biến lên 2.000.000% — một tín hiệu bất thường điển hình thường xuất hiện trong các cuộc tấn công thao túng giá hoặc khai thác lỗ hổng thanh khoản. Mức lợi suất phi thực tế này là dấu hiệu cho thấy kẻ tấn công đã can thiệp vào cơ chế định giá hoặc thanh khoản nội bộ của giao thức trước khi thực hiện đợt rút tiền.

Flash loan — công cụ tấn công phổ biến trong DeFi

Flash loan là loại khoản vay không cần tài sản đảm bảo, được vay và hoàn trả trong cùng một giao dịch trên blockchain. Kỹ thuật này hợp pháp khi sử dụng đúng mục đích, nhưng cũng thường bị lợi dụng để thao túng giá oracle, làm lệch tỷ giá tài sản hoặc khai thác logic sai trong smart contract — từ đó rút cạn thanh khoản của giao thức mục tiêu.

Summer.fi là giao thức cung cấp các công cụ quản lý vị thế DeFi, tích hợp với nhiều nền tảng như Aave, Maker và Spark, phục vụ cả người dùng phổ thông lẫn chiến lược yield farming phức tạp.

Tác động và phản ứng từ cộng đồng

Vụ tấn công một lần nữa đặt ra câu hỏi về mức độ an toàn của các vault được gắn nhãn "rủi ro thấp" trong hệ sinh thái DeFi. Việc một vault bảo thủ vẫn có thể bị khai thác thông qua vector flash loan cho thấy rủi ro không chỉ đến từ chiến lược đầu tư mà còn từ thiết kế kiến trúc smart contract.

Tại thời điểm đưa tin, nhóm phát triển Summer.fi chưa công bố thông báo chính thức về kế hoạch bồi thường hay lộ trình khắc phục. Cộng đồng DeFi đang theo dõi sát diễn biến điều tra on-chain để xác định chính xác vector tấn công và địa chỉ ví liên quan.

Bối cảnh: DeFi vẫn là mục tiêu hàng đầu của hacker

Các vụ tấn công nhắm vào giao thức DeFi trên Ethereum tiếp tục xảy ra với tần suất đáng lo ngại trong năm 2025. Theo nhiều báo cáo bảo mật, flash loan attack và oracle manipulation vẫn là hai vector phổ biến nhất, chiếm tỷ trọng lớn trong tổng giá trị bị đánh cắp từ hệ sinh thái Web3.