Kronologi Serangan
Protokol decentralized finance (DeFi) Summer.fi mengumumkan penghentian seluruh Lazy Summer vaults pada Senin (6/7) setelah serangan eksploitasi menguras dana sekitar $6 juta dari platform yield berbasis Ethereum. Insiden ini langsung memicu kepanikan pasar dengan token asli protokol, SUMR, anjlok lebih dari 18% dalam hitungan jam.
Eksploitasi pertama kali terdeteksi oleh firma keamanan blockchain Blockaid, yang kemudian dikonfirmasi oleh PeckShield dan CertiK. Summer.fi segera merespons dengan mengaktifkan protocol guardians untuk menjeda seluruh vault yang terdampak, mencegah kerugian tambahan yang lebih besar.
Bagaimana Serangan Terjadi
Menurut analisis awal dari peneliti keamanan DeFi Bhari, penyerang menggunakan teknik flash loan attack berskala besar yang diduga bersumber melalui protokol peminjaman Morpho. Serangan ini menargetkan celah dalam logika akuntansi vault USDC otomatis milik Lazy Summer, memungkinkan penyerang untuk memanipulasi dan menggembungkan total aset yang tercatat.
Dengan aset yang telah dimanipulasi, penyerang kemudian dapat menebus dana dalam jumlah yang jauh melebihi nilai sebenarnya, menghasilkan keuntungan bersih sekitar $6 juta. Dana hasil curian dilaporkan telah dikonversi menjadi DAI melalui platform Curve sebelum dipindahkan ke dompet penyerang.
Profil Protokol Summer.fi
Lazy Summer sendiri merupakan platform yield otomatis yang merutekan deposit pengguna ke berbagai pasar peminjaman seperti Aave dan Morpho. Platform ini menawarkan optimasi hasil (yield) sekaligus menangani rebalancing secara otomatis atas nama pengguna. Sebelum serangan terjadi, protokol ini memiliki total value locked (TVL) sekitar $22 juta menurut data DeFiLlama.
Konteks Keamanan DeFi 2026
Insiden ini menambah daftar panjang eksploitasi di sektor DeFi sepanjang tahun 2026. Data dari CertiK menunjukkan meskipun total kerugian kripto turun 47 persen secara year-on-year menjadi $1,32 miliar di paruh pertama 2026, jumlah insiden justru meningkat lebih dari dua kali lipat — dari 83 menjadi 207 kasus menurut TRM Labs.
CertiK memperingatkan bahwa penurunan angka kerugian total tidak boleh disalahartikan sebagai ekosistem yang lebih aman. Serangan justru semakin terarah dan lebih merusak secara finansial per insiden, dengan lebih dari 70 persen kerugian Q2 2026 berasal dari dua eksploitasi besar: KelpDAO dan Drift Protocol, yang diduga dilakukan oleh peretas Korea Utara.
Langkah Selanjutnya
Summer.fi belum memberikan pernyataan resmi mengenai rencana kompensasi bagi pengguna yang terdampak. Tim protokol saat ini masih melakukan investigasi menyeluruh terhadap vektor serangan dan berkoordinasi dengan firma keamanan blockchain untuk melacak dana yang dicuri. Para pengguna diimbau untuk tetap memantau kanal resmi Summer.fi untuk informasi lebih lanjut.
Eksploitasi ini kembali menegaskan bahwa keamanan smart contract tetap menjadi tantangan terbesar bagi pertumbuhan DeFi. Investor dan pengguna disarankan untuk selalu melakukan due diligence sebelum menempatkan dana di protokol mana pun, serta memahami bahwa yield tinggi sering kali datang dengan risiko keamanan yang sepadan.
