Estate in rosso: 6 milioni di dollari spariti? La bufala dell'hack a Summer.fi

La notizia di un exploit da 6 milioni di dollari ai danni di Summer.fi, il popolare yield aggregator su Ethereum, presuntamente individuato dalla società di sicurezza Blockaid nel luglio 2026, è destinata a finire nel dimenticatoio. Dopo un'attenta verifica delle fonti disponibili, non emerge alcuna prova a sostegno di un simile attacco avvenuto a luglio o in qualsiasi altro mese del 2026.

La genesi di questa 'fake news' va ricercata molto probabilmente nella confusione tra due episodi distinti e ben documentati: l'exploit da 6,7 milioni di dollari ai danni della piattaforma TrustedVolumes (segnalato da Blockaid nel maggio 2026) e il dato aggregato di quasi 6 milioni di dollari rubati in una sola settimana del maggio 2026 a sei progetti DeFi. Summer.fi e il suo Lazy Summer Protocol hanno indubbiamente affrontato seri incidenti di sicurezza nel 2026, incluso un attacco alla governance da 40 milioni di dollari scampato per un soffio, ma nessuno corrisponde alla descrizione di un exploit da 6 milioni di dollari segnalato da Blockaid.

Ecco la cronaca dei fatti reali.

L'incidente da 6 milioni di dollari: TrustedVolumes, non Summer.fi

La corrispondenza più vicina a un "exploit da 6 milioni di dollari segnalato da Blockaid" nel 2026 è l'attacco a TrustedVolumes del 7 maggio 2026. Il sistema di rilevamento in tempo reale di Blockaid ha individuato un exploit di smart contract che ha drenato circa 6,7 milioni di dollari da TrustedVolumes, un fornitore di liquidità e market maker al servizio di 1inch, Uniswap, MetaMask e Ledger . Nessuna fonte collega questo exploit a Summer.fi.

Nella stessa settimana del maggio 2026, la società di sicurezza PeckShield e altre hanno monitorato sei progetti DeFi che hanno perso quasi 6 milioni di dollari in totale, tra cui Transit Finance (1,9 milioni di dollari) e progetti minori come Aurellion e BoostHook . Questo dato settimanale aggregato potrebbe aver contribuito a generare la persistente associazione con la cifra di "6 milioni di dollari".

I veri incidenti di sicurezza del 2026 per Summer.fi e il Lazy Summer Protocol

Mentre Summer.fi in sé non è stato vittima di un grosso attacco da 6 milioni di dollari segnalato da Blockaid, il suo Lazy Summer Protocol ha dovuto affrontare due eventi di sicurezza seri nel 2026.

Attacco alla governance da 40 milioni di dollari sfiorato (aprile 2026)

Nell'aprile 2026, una proposta malevola intitolata "Revoke Old V1 Roles and Cleanup for V1→V2 Finalization" è stata presentata alla governance del Lazy Summer Protocol. Dietro dodici chiamate on-chain camuffate da ordinaria manutenzione post-migrazione, una singola riga nascosta avrebbe concesso a un wallet anonimo il ruolo di 'master key' su un protocollo che gestiva circa 40 milioni di dollari in fondi degli utenti su tre blockchain . La proposta è stata individuata e cancellata dalla comunità del Lazy Summer Guardian prima della sua esecuzione .

Incidente indiretto al Vault USDC su Arbitrum (maggio 2026)

Lo stesso blog di Summer.fi ha riconosciuto che la comunità del Lazy Summer Protocol ha gestito "un evento inaspettato e difficile che ha colpito l'Arbitrum USDC Vault" . Non si è trattato di un exploit diretto degli smart contract di Summer.fi ma di un'esposizione indiretta a una fonte di rendimento di terze parti colpita da un incidente di sicurezza separato. Il monitoraggio proattivo di Block Analitica ha azzerato i capi dei vault sui mercati colpiti, limitando i danni .

Il contesto di Summer.fi

Summer.fi (già Oasis.app) è nato come uno dei primi progetti derivati da MakerDAO, lanciato addirittura prima del Single Collateral Dai nel 2016 . È diventato un'entità indipendente dopo la piena decentralizzazione di Maker e si è rinominato da Oasis.app a Summer.fi nel giugno 2023 . La sua missione è costruire "l'app più affidabile per impiegare capitali nella DeFi" .

Nel gennaio 2026, Summer.fi ha annunciato di puntare tutto sul Lazy Summer Protocol, un protocollo di vault on-chain progettato per offrire un'esposizione automatizzata ai migliori rendimenti DeFi . La gestione del rischio del protocollo è affidata a Block Analitica .

Il più ampio contesto della sicurezza DeFi nel 2026

Il 2026 si è rivelato un anno terribile per la sicurezza DeFi. Le perdite nei primi cinque mesi hanno superato gli 840 milioni di dollari . Solo ad aprile sono stati rubati oltre 600 milioni di dollari, inclusi due degli incidenti più grandi dell'anno: l'exploit di KelpDAO da 292 milioni di dollari (rsETH) e la violazione del Drift Protocol da circa 285 milioni di dollari .

I vettori d'attacco si sono ampliati ben oltre i semplici bug degli smart contract, includendo exploit di bridge cross-chain, attacchi alla governance, dirottamenti DNS, chiavi private compromesse e trappole honeypot per bot MEV . I sistemi di rilevamento in tempo reale di Blockaid hanno segnalato exploit su numerosi protocolli, tra cui ZetaChain, Scallop Protocol, ShapeShift, Aztec, Verus-Ethereum Bridge e un incidente da 80 milioni di dollari dovuto a chiavi compromesse su Resolv nel corso del 2026 .

Punto chiave

Non esiste alcuna prova a sostegno di un exploit da 6 milioni di dollari su Summer.fi segnalato da Blockaid nel luglio 2026. La cifra di 6 milioni di dollari ha quasi certamente origine dall'attacco a TrustedVolumes (6,7 milioni di dollari) o dal dato settimanale aggregato di circa 6 milioni di dollari di progetti più piccoli. Il Lazy Summer Protocol di Summer.fi ha affrontato un serio attacco alla governance da 40 milioni di dollari (per fortuna sventato) e un incidente indiretto a un vault, ma nessuno dei due corrisponde a un exploit da 6 milioni di dollari segnalato da Blockaid. La DeFi continua a vedere un'escalation drammatica sia nella frequenza che nella sofisticazione degli attacchi nel 2026.