600 萬美元的 Summer.fi DeFi 漏洞攻擊其實是假警報？拆解 Summer.fi、Blockaid 與真實的 2026 年攻擊事件

一則關於以太坊收益聚合平台 Summer.fi 遭駭、損失 600 萬美元並由安全公司 Blockaid 在 2026 年 7 月標記的報導，經過深入查證後，並未找到有力證據支持。

這個說法極有可能源於兩起有詳細記錄但彼此獨立的事件被混淆：一起是無關平台 TrustedVolumes 在 2026 年 5 月遭駭，損失 670 萬美元，並由 Blockaid 標記；另一起則是 2026 年 5 月某一週內，六個 DeFi 項目總計損失近 600 萬美元。Summer.fi 及其 Lazy Summer Protocol 在 2026 年確實發生過重大安全事件——包括一起差點得逞的 4000 萬美元治理攻擊——但都與「Blockaid 標記的 600 萬美元漏洞攻擊」的描述不符。

以下是事件的真相。

600 萬美元事件：TrustedVolumes，而非 Summer.fi

2026 年最接近「Blockaid 標記的 600 萬美元漏洞攻擊」的事件，是 5 月 7 日發生的 TrustedVolumes 駭客攻擊。Blockaid 的即時漏洞偵測系統在 TrustedVolumes（一個為 1inch、Uniswap、MetaMask 和 Ledger 服務的流動性提供者與造市商）上，標記了一樁智慧合約漏洞攻擊，損失約 670 萬美元 。沒有任何資料將此次攻擊與 Summer.fi 連結。

同在 2026 年 5 月的那週，安全公司 PeckShield 等單位追蹤到六個 DeFi 項目總計損失近 600 萬美元，其中包括 Transit Finance（損失 190 萬美元）以及規模較小的 Aurellion 和 BoostHook 等項目 。這個每週的加總數字，也可能造成了「600 萬美元」這個數字持續被錯誤關聯。

Summer.fi 與 Lazy Summer Protocol 在 2026 年的真實安全事件

雖然 Summer.fi 本身並未發生被 Blockaid 標記的頭條式 600 萬美元攻擊，但其 Lazy Summer Protocol 在 2026 年確實遭遇了兩起嚴重安全事件。

差點得逞的 4000 萬美元惡意治理提案（2026 年 4 月）

一份名為「撤銷舊有 V1 角色並為 V1 至 V2 最終化進行清理」的惡意提案，被提交至 Lazy Summer Protocol 的治理系統。在這十二個偽裝成常規遷移後維護的鏈上呼叫背後，隱藏了一行指令，會將一個管理著橫跨三條鏈、約 4000 萬美元用戶資金的協議主控權，交給一個匿名錢包 。該提案在執行前被 Lazy Summer Guardian 社群發現並取消 。

Arbitrum USDC 金庫間接事件（2026 年 5 月）

Summer.fi 的官方部落格承認，Lazy Summer Protocol 社群經歷了一起「影響到 Arbitrum USDC 金庫的意外且艱困的事件」。這並非直接針對 Summer.fi 智慧合約的攻擊。該金庫因其間接曝險於一個受另一起安全事件影響的第三方收益來源而受到影響。Block Analitica 的主動監控系統將受影響市場的金庫上限設為零，限制了損害範圍 。

Summer.fi 平台背景

Summer.fi（前身為 Oasis.app）最初是 MakerDAO 最早期的項目之一，甚至在 2016 年單一抵押 Dai 推出之前就已誕生 。在 Maker 完全去中心化後，它成為一個獨立實體，並於 2023 年 6 月從 Oasis.app 品牌重塑為 Summer.fi 。其使命是打造「在 DeFi 中部署資本最值得信賴的應用程式」。

2026 年 1 月，Summer.fi 宣布將全力投入 Lazy Summer Protocol，這是一個鏈上金庫協議，旨在提供經由精心挑選、自動化的 DeFi 收益曝險 。該協議的風險管理由 Block Analitica 負責 。

2026 年更廣泛的 DeFi 安全環境

2026 年對 DeFi 安全來說是嚴峻的一年。前五個月的損失總額已超過 8.4 億美元 。僅 4 月一個月，就有超過 6 億美元被盜，其中包括當年最大的兩起事件：KelpDAO 的 2.92 億美元 rsETH 漏洞攻擊，以及 Drift Protocol 約 2.85 億美元的攻擊事件 。

攻擊手法已遠超單純的智慧合約漏洞，擴展到跨鏈橋漏洞、治理攻擊、DNS 挾持、私鑰遭竊，以及蜜罐 MEV 機器人陷阱等 。整個 2026 年，Blockaid 的即時偵測系統標記了多個協議的漏洞攻擊，包括 ZetaChain、Scallop Protocol、ShapeShift、Aztec、Verus-Ethereum Bridge，以及 Resolv 一起 8000 萬美元的私鑰遭竊事件 。

關鍵結論

沒有任何證據支持在 2026 年 7 月，Summer.fi 發生了由 Blockaid 標記的 600 萬美元漏洞攻擊。這個「600 萬美元」的數字，幾乎可以確定是源自 TrustedVolumes 的 670 萬美元駭客攻擊，或是 5 月那週眾多小型項目損失的總和。Summer.fi 的 Lazy Summer Protocol 雖然遭遇了差點得逞的 4000 萬美元治理攻擊以及一次間接的金庫事件——但這兩者都不是 Blockaid 標記的 600 萬美元漏洞攻擊。2026 年，DeFi 領域正面臨攻擊頻率與複雜度急劇升高的嚴峻挑戰。