Summer Financeで約600万ドル相当の不正流出、Vault表示APYが一時208万％に急騰

DeFiプラットフォームのSummer Finance（Summer.fi）で不正利用が発生し、攻撃者が約600万ドル相当のDAI（ethereum:0x6b175474e89094c44da98b954eedeac495271d0f）を流出させたとみられる。PeckShieldAlertが報告した。 影響が大きかったのはLazyVault LowerRisk USDC（LVUSDC）で、攻撃の過程でVaultの表示APYが一時的に208万％まで跳ね上がった。もっとも、この数値は実際に年率208万％の利回りが得られたことを意味しない。攻撃や会計処理の改ざんにより、表示上のAPYが不自然に膨らんだ可能性が高い。 PeckShieldAlertは7月6日（2026年）、「@summerfinance_ が約600万ドルの被害を受けた」として関連アドレスを示した。これを受け、Summer Financeも同日、X（旧Twitter）で攻撃を認め、「本日早くに報告された不正利用を把握しており、原因を調査中。プロトコルのガーディアンがLazy Summer Protocol全体で全Vaultを停止している。進展があり次第アップデートする」と説明した。 市場データによれば、被害Vaultの最大保有者は「0x874…4130」とされる。このアドレスはUDHCのTorben Jorgensenに関連するとされ、累計で約860万USDCを預け入れているとの指摘も出ている。 今回の事案は、精巧化する攻撃の前でDeFiプロトコルが抱える脆弱性を改めて浮き彫りにした。LVUSDCでは利回りが異常値を示す形で操作された可能性があり、利用者に天文学的なリターンが得られるかのような誤認を招きかねない状況だった。600万ドルの流出後に生じたAPYの急騰は、実需に基づく収益ではなく悪意ある挙動のシグナルとみられる。 PeckShieldAlertは、こうした異常値はコントラクトの脆弱性や流動性操作の警戒サインとなるケースが多いとする。加えて、Summer.fiのリスク管理パートナーであるBlock Analiticaの関与もあり、影響評価は複雑になっている。 市場では、監査体制の強化、緊急時の対応計画、リアルタイム監視の拡充など、致命的な損失から利用者を守るための対策が急務との見方が強まっている。