「Summer.fiの600万ドル・ハッキング」は誤報だった可能性—Blockaidのアラートと実際の2026年セキュリティ事件を徹底検証

イーサリアムベースのイールドアグリゲーター Summer.fi で2026年7月、セキュリティ企業 Blockaid が600万ドル（約9億円）の不正流出を検知した——とする情報が一部で広がっています。しかし、徹底的に検証した結果、この主張を裏付ける証拠は一切見つかりませんでした。

この「600万ドル事件」の原因は、2026年に実際に起きた二つの独立した事件が混同されたものとみられます。一つは無関係のプラットフォーム TrustedVolumes で2026年5月にBlockaidが検知した 670万ドル のハッキング事件。もう一つは、同じ5月の1週間で6つのDeFiプロジェクトから略奪された約600万ドル という集計値です。

Summer.fiとそのプロトコル Lazy Summer Protocol は確かに2026年に重要なセキュリティインシデントを経験しましたが、それは「Blockaidが検知した600万ドルの流出」という表現とは全く異なるものです。

600万ドル事件の正体：Summer.fiではなくTrustedVolumes

「2026年にBlockaidが検知した600万ドル規模の事件」に最も近いのは、2026年5月7日のTrustedVolumesハッキングです。Blockaidのリアルタイム不正検知システムは、1inch、Uniswap、MetaMask、Ledgerに流動性を提供するマーケットメイカーであるTrustedVolumesから、スマートコントラクトの脆弱性を突いて約 670万ドル が流出した事件を検知しました。この事件とSummer.fiを結びつける情報源はありません。

また、2026年5月の同じ週には、セキュリティ企業PeckShieldなどが、Transit Finance（190万ドル）やAurellion、BoostHookなど、6つのDeFiプロジェクトから合計約600万ドル が盗まれた事件を追跡しています。この週次の集計額も、「600万ドル」という数字の誤った連想につながった可能性があります。

Summer.fiとLazy Summer Protocolが実際に2026年に直面したセキュリティ上の脅威

Summer.fi本体にBlockaidが検知したような600万ドルの大規模ハッキングは確認されていませんが、Lazy Summer Protocolは2026年に2件の深刻なセキュリティ上の脅威に直面しました。

【4000万ドルのガバナンス攻撃未遂（2026年4月）】

2026年4月、Lazy Summer Protocolのガバナンスに対し、「V1の旧ロールを取り消し、V1→V2の最終化に向けたクリーンアップ」と題された悪意のある提案が提出されました。この提案には12のオンチーンコールが移行後のメンテナンスのように偽装して含まれていましたが、そのうちの1行のコードによって、匿名のウォレットに3つのチェーンで約4000万ドル（約60億円）のユーザー資産を管理する「マスターキー」ロールが付与される仕組みになっていました。この提案は、Lazy Summer Guardian コミュニティの迅速な対応により、実行前に検知・キャンセルされました。

【Arbitrum USDC Vaultの間接的なインシデント（2026年5月）】

Summer.fiの公式ブログは、Lazy Summer Protocol コミュニティが 「Arbitrum USDC Vaultに影響を与える予期せぬ困難な出来事」 に対処したことを認めています。これはSummer.fiのスマートコントラクトが直接攻撃された事件ではなく、同Vaultが依存する第三者イールドソースが別のセキュリティインシデントの影響を受けたものです。リスク管理を担当する Block Analitica のプロアクティブな監視により、影響を受けた市場のVault上限が即座にゼロに設定され、被害は最小限に抑えられました。

Summer.fiプラットフォームの背景

Summer.fi（旧Oasis.app）は、2016年にMakerDAOから生まれた最初期のプロジェクトの一つで、後にMakerの完全分散化を経て独立した事業体となり、2023年6月にOasis.appからSummer.fiへとブランド名を変更しました。その使命は「DeFiに資本を展開するための最も信頼できるアプリ」を構築することです。

2026年1月、Summer.fiは Lazy Summer Protocol に全面的に注力することを発表しました。これは、厳選されたDeFiイールドへの自動化されたエクスポージャーを提供するように設計されたオンチェーンVaultプロトコルです。プロトコルのリスク管理は Block Analitica が担っています。

2026年のDeFiセキュリティ全体の状況

2026年はDeFiセキュリティにとって極めて過酷な年となりました。最初の5か月間の損失総額は 8億4000万ドル（約1260億円）を超えました。4月だけでも 6億ドル（約900億円）以上が盗まれ、その中にはKelpDAOの2億9200万ドル事件やDrift Protocolの2億8500万ドル事件が含まれます。

攻撃ベクトルは単純なスマートコントラクトのバグをはるかに超え、クロスチェーンブリッジの悪用、ガバナンス攻撃、DNSハイジャック、秘密鍵の漏洩、MEVボットを標的としたハニーポットトラップなど、多様化・高度化しています。Blockaidのリアルタイム検知システムは、ZetaChain、Scallop Protocol、ShapeShift、Aztec、Verus-Ethereum Bridge、そしてResolvでの8000万ドル規模の秘密鍵侵害事件など、2026年を通じて多数のプロトコルにおける不正流出を検知しました。

結論

Summer.fiでBlockaidが2026年7月に600万ドルの不正流出を検知したという証拠は一切ありません。 「600万ドル」という数字は、ほぼ間違いなく TrustedVolumesの670万ドル・ハッキング、または1週間の小規模プロジェクトからの集計額約600万ドルに由来するものと思われます。Summer.fiのLazy Summer Protocolは4000万ドル規模の重大なガバナンス攻撃未遂や、間接的なVaultインシデントに直面しましたが、いずれも「Blockaidが検知した600万ドルの流出」という表現には該当しません。DeFiは2026年、攻撃の頻度と巧妙さの両面で劇的なエスカレーションを続けています。