Summer.fi vient d'être mis à mal par un prêt flash de 65 millions de dollars

Six millions de dollars. C'est la somme qui manque dans les coffres « Lazy Summer » de Summer.fi suite à l'exploitation de lundi matin, et le mécanisme à l'origine de cette faille est presque élégant tant il semble simple une fois qu'on l'analyse en détail.

C’est Blockaid qui l’a détecté en premier, signalant le détournement en temps réel et publiant l’adresse de l’exploiteur ainsi que les contrats concernés avant même que Summer.fi n’ait confirmé quoi que ce soit publiquement. C’est en train de devenir la norme en 2026: les entreprises de sécurité découvrent les failles avant le protocole lui-même.

Voici ce qui s’est passé, d’après les analyses de CertiK et Cyvers. L’attaquant a contracté un prêt flash de 65,4 millions de dollars en USDC et USDT, c’est-à-dire de l’argent emprunté et remboursé au cours de la même transaction, sans donc exposer de capital réel au risque. Il a déposé 64,8 millions de dollars dans les coffres de Lazy Summer, a pré-chargé une position dans le coffre « Silo: Varlamore USDC Growth », puis a « fait don » d’actifs au contrat Ark en cours de transaction. Ce « don » a faussé la manière dont FleetCommander — le contrat qui suit la valeur totalAssets() de chaque coffre — a calculé le contenu réel de celui-ci. Les chiffres étant faussés, l’attaquant a procédé à un rachat de 70,9 millions de dollars. Le montant du dépôt, moins le rachat, moins le remboursement du prêt flash: environ 6 millions de dollars de bénéfice net, convertis en DAI sur Curve et transférés vers un nouveau portefeuille.

Pas de clés d’administration, pas de compromission de la signature multi-signature, rien d’extraordinaire. Juste un contrat qui s’est fié à un chiffre auquel il n’aurait pas dû se fier.

Summer.fi (anciennement connu sous le nom d’Oasis.app) a confirmé l’exploitation de cette faille et a suspendu tous les coffres du protocole Lazy Summer le temps de mener son enquête. Un fil de discussion a détaillé le mécanisme de l’attaque, notamment le fait qu’à un moment donné, le taux de rendement annuel (APY) affiché par le coffre-fort concerné a grimpé en flèche pour atteindre environ 2,08 millions de pour cent — ce qui, honnêtement, devrait désormais constituer un signal d’alerte intégré directement dans chaque interface DeFi. Si votre rendement affiche un jour un chiffre à sept chiffres, c’est qu’il y a un problème.

Le cours du SUMR a chuté d’environ 18% à l’annonce de la nouvelle. Le protocole affichait une TVL d’environ 22 millions de dollars avant l’attaque; il ne s’agit donc pas d’une perte négligeable.

Et il ne s’agit pas d’un incident isolé: c’est la deuxième faille exploitée en juillet, et le mois de juin à lui seul a vu 75,9 millions de dollars perdus lors de 40 piratages distincts. CryptoRank estime les pertes totales de la DeFi en 2026 à ce jour à un peu plus de 900 millions de dollars. Chacune de ces attaques suit le même scénario: emprunter de l’argent que l’on n’a pas, contourner une hypothèse faite par le code, puis s’enfuir avant que quiconque ne s’en aperçoive. Les audits ne détectent toujours pas ce type de « bug », car il ne s’agit pas vraiment d’un bug, mais d’un choix de conception (faire confiance à totalAssets() sans recoupement) qui ne devient exploitable que lorsque quelqu’un a l’idée de le combiner avec un prêt flash suffisamment important.

L’ironie, c’est que Summer.fi se présente en partie comme l’option la plus sûre, la plus « de niveau institutionnel ». C’est précisément cet argument qui est le plus mis à l’épreuve lorsque ce genre de situation se produit.

Qu’est-ce qui rend le texte ci-dessus si manifestement généré par une IA?

• Le rythme est trop régulier, la longueur des paragraphes est constante, les transitions sont soignées, il n’y a ni véritable désordre ni digressions.
• « Cela devient le schéma standard » et « l’artiste anciennement connu sous le nom d’Oasis.app » donnent l’impression d’une personnalité artificielle plutôt que d’une voix naturelle.
• La conclusion (« c’est exactement l’argumentaire… ») est une synthèse soignée de la thèse, ce qui est un indice classique de l’IA.
• Légère sur-explication des mécanismes qu’un public familier de la crypto comprend déjà (les prêts flash, la signification de TVL).

Ce qui me frappe, c’est que Summer.fi se présente en quelque sorte comme l’option « adulte » en matière de rendement DeFi. Je suppose que cet argumentaire vient de passer son premier véritable test.