Взлом Summer.fi: 6 млн DAI превратились в 3 294 ETH в Tornado Cash — через собственный роутер взломщика, за 16 дней

По данным Blockaid и сообщениям прессы, обновление хранилищ Lazy Summer сломало подсчёт общей суммы активов хранилища. 6 июля 2026 года атакующий занял около $65 млн мгновенными займами, внёс $64,8 млн, вывел $70,9 млн и оставил себе разницу. Summer.fi остановил хранилища и позже объявил о закрытии.

Прибыль пришла в DAI: 6 016 755 DAI одним переводом в 05:17 UTC с контракта атаки на кошелёк взломщика 0x7BF716167B48CF527725722C6d79494b45B3BDCa. В то утро кошелёк не был новым. Первый эфир он получил через мост Stargate в апреле и ещё раз в мае — за два-три месяца до использования.

DAI заморозить нельзя, поэтому спешить было некуда, и атакующий не спешил. Двадцать часов ничего не двигалось.

Рано утром 7 июля кошелёк продал 405 100 DAI через Uniswap V2 за 23 обмена. Эфир — 213,86 ETH — на продавший кошелёк не вернулся: в каждом обмене получателем был указан другой, второй кошелёк, 0x46E09c4D4d20C0474598b4d2fFDd08bdf416eBa7.

Затем способ изменился. Второй кошелёк развернул небольшой непроверенный контракт, 0x824cb092B6f1DAD5BF95B315250479FB38Ef069A. С 8 по 22 июля первый кошелёк вызвал его 74 раза, после пробы на 100 DAI, обычно на 100 000 или 50 000 DAI. Каждый вызов делает одно и то же в одной транзакции: меняет DAI на USDC в пуле 3pool на Curve, продаёт USDC в пуле USDC/ETH на Uniswap V3 и заставляет пул выплатить WETH прямо на второй кошелёк. Вошло 5 611 655 DAI, на другом адресе вышло 3 069,2 WETH.

В итоге на кошельке, за которым все следили, видно только, как DAI уходят на неизвестный контракт, а у кошелька, получающего эфир, нет видимой связи со взломом, пока не откроешь сами транзакции.

Второй кошелёк делал с эфиром одно. Первый депозит в Tornado Cash ушёл в 01:56 UTC 7 июля, через восемнадцать минут после поступления первого эфира. За следующие шестнадцать дней он сделал 56 депозитов: 31 по 100 ETH, 19 по 10, 4 по 1 и 2 по 0,1 — 3 294,2 ETH.

По дням: 200 ETH 7 июля, 400 — 8-го, 100 — 9-го, 400 — 12-го, 700 — 13-го, 100 — 14-го, 500 — 16-го, 300 — 17-го, 200 — 20-го и последние 394,2 — 22 июля. В то последнее утро первый кошелёк переслал и свои оставшиеся 11,3 ETH. На втором кошельке сейчас 0,01 ETH, на первом ничего.

По курсу около $1 830 за ETH — столько атакующий реально получил — 3 294 ETH и есть все шесть миллионов долларов. По дороге ничего не потерялось и ничего не было перехвачено.

Оба кошелька, контракт атаки и контракт обмена мы пометили в нашей базе как связанные со взломом. Остатка для наблюдения нет. Проверить любой адрес по этому и другим нашим делам можно на странице проверки адреса; этот случай учтён и в нашей сводке по Tornado Cash за квартал.

Она никого не называет и не говорит, кто управляет каким-либо адресом. Механизм, сумма потерь и адрес взломщика — данные Blockaid и прессы; маршрут, второй кошелёк, контракт обмена и сумма в Tornado — наши, прочитаны в сети 5 октября 2026 года. Из какой сети в апреле пришёл первый эфир кошелька, мы не знаем.