Summer.fi DeFi išnaudojimas parodė AI automatizavimo riziką
Summer.fi DeFi išnaudojimas dar kartą išryškino, kiek daug rizikos slepiasi automatizuotuose pajamingumo protokoluose. Liepos 6 d. Blockaid pranešė aptikusi vykstantį išnaudojimą ir nurodė, kad įspėjimo metu buvo išleista apie 6 mln.
Tolesniame pranešime saugos bendrovė susiejo išnaudojimo sandorį, eksploatuotojo adresą, naudojimo sutartį ir susijusias Summer.fi bei Lazy Summer sutartis. Etherscan sandoris rodo sėkmingą Ethereum sandorį liepos 6 d. 05:17:59 UTC. Vėliau Summer.fi patvirtino, kad žino apie praneštą incidentą, tiria jo priežastį, o protokolo sergėtojai sustabdė visas saugyklas per Tinginės vasaros protokolą.
Galutinis nuostolių dydis ir tiksli priežastis kol kas nėra aiškūs. Summer.fi žada paskelbti išsamesnę incidento apžvalgą, kuri turėtų paaiškinti, kaip buvo išnaudotas protokolo mechanizmas.
Automatizavimas ir pasitikėjimo sluoksniai DeFi
Summer.fi dokumentacijoje Lazy Summer aprašomas kaip „nustatyk ir pamiršk“ principu veikiantis protokolas, paremtas Lazy Vaults, automatiniu perbalansavimu ir supaprastintu DeFi pasiekiamumu. Toks paprastumas, anot dokumentacijos, remiasi kelių sutarčių vaidmenų sistema.
Dokumentuose Lazy Vaults, dar vadinamos laivynu, aprašomos kaip suderintų sutarčių sistema, apimanti Fleet Commander, ARKs ir RAFT. Fleet Commander valdo indėlius, išėmimus ir paskirstymą, ARK įgyvendina pajamingumo strategijas, o RAFT nuima derlių ir išmoka atlygį.
Prie šios struktūros prisideda ir protokolo balansavimo mechanizmas. Summer.fi teigia, kad Keeper AI agentai gali perskirstyti turtą tarp ARK, laikydamiesi ribų, nustatytų per FleetCommander ir valdymą, įskaitant apribojimus, kiek vertės gali būti perkelta ir kaip dažnai. Būtent šis daugiasluoksnis dizainas ir sukūrė pažeidžiamą vietą, kurią atskleidė išnaudojimas.
Vartotojas pasitiki apskaita, strategijų sutartimis, vykdymu, valdymo ribomis ir avarinio stabdymo mechanizmais tam, kad kapitalas judėtų be rankinio kiekvieno sprendimo patvirtinimo. Tačiau toks modelis kartu reiškia, kad gedimas viename sluoksnyje gali paveikti visą sistemą.
Platesnis kontekstas: DeFi saugumo spaudimas didėja
Automatizavimas perkelia vartotojo riziką į sistemas, kurios pačios stebi rinką, balansuoja portfelius ir renkasi strategijas naudotojo vardu. Summer.fi dokumentacijoje nurodomi auditai ir Immunefi klaidų programa, kurie išlieka svarbia saugumo paketo dalimi, tačiau šis incidentas parodo, kad to ne visada pakanka.
Pastaruoju metu CryptoSlate analizė parodė, kad žinomi DeFi įsilaužimų nuostoliai antrąjį ketvirtį siekė 780,3 mln. DeFiLlama duomenys rodo, kad per antrąjį ketvirtį nuostoliai siekė 780,3 mln. USD, nes tiltai, raktai ir protokolo logika ir toliau paverčia saugumą tiesiogine dalyvavimo kaina.
Šiame kontekste Summer.fi incidentas tampa dar vienu pavyzdžiu, kaip kuo mažiau matomas pajamingumo mechanizmas, tuo svarbiau, kad protokolai aiškiai parodytų, kur baigiasi automatizavimas ir prasideda vartotojo ekspozicija. Dabar didžiausias dėmesys krypsta į būsimą Summer.fi postmortem.
Jei gedimas pasirodys buvęs ribotas, incidentas taps avarinės kontrolės efektyvumo testu. Tačiau jei paaiškės, kad problema slypi saugyklos apskaitoje, leidimuose ar strategijų judėjime, tai gali tapti platesniu įspėjimu visam automatizuotų saugyklų dizainui.
Ką tai reiškia rinkai?
Trumpuoju laikotarpiu tokie incidentai dažniausiai didina atsargumą DeFi sektoriuje, ypač tarp investuotojų, kurie renkasi automatizuotas pajamingumo strategijas. Jei Summer.fi nuostoliai pasirodys esantys dideli, tai gali laikinai paveikti pasitikėjimą panašiais protokolais ir spausti jų žetonų ar užrakintos vertės rodiklius.
Kita vertus, rinka dažnai greitai persijungia į saugumo auditų, valdymo ir avarinių mechanizmų svarbos vertinimą. Jei protokolas skaidriai pateiks postmortem ir pademonstruos veiksmingą reagavimą, neigiama įtaka gali likti ribota, nors bendras jautrumas automatizuotam DeFi išliks padidėjęs.
