De $6M Summer.fi DeFi-‘hack’ die er nooit was: zo raakten Summer.fi, Blockaid en de echte aanvallen van 2026 door elkaar

Een wijdverspreid bericht over een $6M-exploit van de op Ethereum gebaseerde yield-aggregator Summer.fi, die in juli 2026 door beveiligingsbedrijf Blockaid zou zijn gesignaleerd, blijkt bij nader inzien niet te kloppen. Uit een grondig onderzoek van de beschikbare bronnen blijkt dat er geen enkel bewijs is voor een $6M-exploit van Summer.fi in juli 2026 — of op enig ander moment in 2026 — die door Blockaid is gedetecteerd.

Het verhaal is waarschijnlijk ontstaan door het door elkaar halen van twee afzonderlijke en goed gedocumenteerde incidenten: een $6,7M-hack van het unrelated platform TrustedVolumes (in mei 2026 door Blockaid gemeld) en de optelsom van bijna $6M die in één week in mei 2026 van zes DeFi-projecten werd gestolen. Summer.fi en het Lazy Summer Protocol hadden wel degelijk te maken met serieuze beveiligingsincidenten in 2026 — waaronder een governance-aanval van $40M die maar net werd voorkomen — maar geen daarvan komt overeen met de beschrijving van een $6M-exploit die door Blockaid werd gemeld.

Dit is wat er wél gebeurde.

Het $6M-incident: TrustedVolumes, niet Summer.fi

De beste kandidaat voor een door Blockaid gemelde exploit van $6M in 2026 is de TrustedVolumes-hack van 7 mei 2026. Blockaid's realtime-exploitatiedetectiesysteem signaleerde een smart contract-exploit die ongeveer $6,7 miljoen wegsleepte bij TrustedVolumes, een liquiditeitsprovider en market maker voor 1inch, Uniswap, MetaMask en Ledger . Geen enkele bron koppelt deze exploit aan Summer.fi.

In dezelfde week van mei 2026 volgden beveiligingsbedrijf PeckShield en anderen zes DeFi-projecten die in totaal bijna $6 miljoen verloren, waaronder Transit Finance ($1,9M) en kleinere projecten als Aurellion en BoostHook . Dit wekelijkse totaalcijfer draagt mogelijk ook bij aan de hardnekkige associatie met $6M.

De echte beveiligingsincidenten bij Summer.fi en Lazy Summer Protocol in 2026

Hoewel Summer.fi zelf geen $6M-Blockaid-melding kreeg, werd het Lazy Summer Protocol in 2026 geconfronteerd met twee ernstige beveiligingskwesties.

Een governance-voorstel van $40M dat maar net werd voorkomen (april 2026)

In april 2026 werd een kwaadaardig voorstel met de titel "Revoke Old V1 Roles and Cleanup for V1→V2 Finalization" ingediend bij de governance van Lazy Summer Protocol. Achter twaalf on-chain aanroepen die waren vermomd als routine-onderhoud na een migratie, verborg een enkele regel een poging om een anonieme wallet de beheerdersrol te geven over een protocol dat ongeveer $40 miljoen aan gebruikersgelden beheerde, verspreid over drie blockchains . Het voorstel werd ontdekt en geannuleerd door de Lazy Summer Guardian-gemeenschap voordat het kon worden uitgevoerd .

Indirect incident met de Arbitrum USDC Vault (mei 2026)

Summer.fi's eigen blog erkende dat de Lazy Summer Protocol-gemeenschap te maken kreeg met "een onverwachte en moeilijke gebeurtenis die van invloed was op de Arbitrum USDC Vault" . Dit was geen directe exploit van Summer.fi's smart contracts. De vault had indirecte blootstelling aan een externe yield-bron die werd getroffen door een apart beveiligingsincident. Block Analitica's proactieve monitoring zette de vault-caps op nul voor de getroffen markten, waardoor de schade beperkt bleef .

Achtergrond van het Summer.fi-platform

Summer.fi (voorheen Oasis.app) begon als een van de eerste projecten van MakerDAO, nog vóór de lancering van Single Collateral Dai in 2016 . Het werd een zelfstandige entiteit na de volledige decentralisatie van Maker en veranderde in juni 2023 zijn naam van Oasis.app naar Summer.fi . De missie is om "de meest vertrouwde app te bouwen om kapitaal in te zetten in DeFi" .

In januari 2026 kondigde Summer.fi aan dat het volledig zou inzetten op het Lazy Summer Protocol, een on-chain vault-protocol dat geautomatiseerde blootstelling aan samengestelde DeFi-yields biedt . Het risicobeheer van het protocol wordt verzorgd door Block Analitica .

De bredere context van DeFi-beveiliging in 2026

2026 was een meedogenloos jaar voor DeFi-beveiliging. De verliezen in de eerste vijf maanden bedroegen meer dan $840 miljoen . Alleen al in april werd er meer dan $600 miljoen gestolen, waaronder twee van de grootste incidenten van het jaar: de KelpDAO $292M rsETH-exploit en de Drift Protocol $285M-inbreuk .

Aanvalsvectoren gingen veel verder dan simpele smart contract-fouten en omvatten cross-chain bridge-exploits, governance-aanvallen, DNS-kaping, gecompromitteerde privésleutels en honeypot-MEV-botvallen . Blockaid's realtime-detectiesystemen signaleerden in 2026 exploits bij talloze protocollen, waaronder ZetaChain, Scallop Protocol, ShapeShift, Aztec, Verus-Ethereum Bridge en een $80M-incident met een gecompromitteerde sleutel bij Resolv .

Conclusie

Er is geen enkel bewijs voor een $6M-exploit van Summer.fi die door Blockaid in juli 2026 is gemeld. Het bedrag van $6M komt vrijwel zeker van de TrustedVolumes $6,7M-hack of de gecombineerde wekelijkse $6M aan kleinere projecten. Het Lazy Summer Protocol van Summer.fi kreeg te maken met een ernstige governance-aanval van $40M die maar net werd voorkomen en een indirect vault-incident — maar geen van beide was een door Blockaid gemelde exploit van $6M. De DeFi-sector blijft in 2026 kampen met een dramatische toename van zowel de frequentie als de verfijning van aanvallen.