Summer.fi : comment un collatéral mort a coûté 6 millions en DeFi

Le 6 juillet 2026, un attaquant a extrait 6,04 millions de dollars de deux vaults de Lazy Summer Protocol (Summer.fi) sans toucher à une seule ligne de code. Ce qui a été exploité relève de la comptabilité : un token de colatéral, devenu obsolète lors de l'effondrement de Stream Finance en novembre 2025, était toujours valorisé à 100 % au sein du vault huit mois plus tard. L'attaquant a acheté cet actif à bas prix, l'a donné au vault pour gonfler sa valeur liquidative (NAV, l'actif net qui détermine la valeur de chaque part) de 9,5 %, puis a racheté des parts surévaluées contre la liquidité réelle des déposants. Cet article reconstruit les deux chronologies qui ont rendu l'attaque possible — le prix de marché du colatéral et sa valorisation comptable au sein du vault — et explique pourquoi cet écart, qu'aucun tableau de bord de TVL ne montre, est une forme de dette déjà identifiée dans notre analyse sur le risque de curateur en DeFi. Ici, ce risque abstrait se matérialise en direct.

Que s'est-il passé exactement le 6 juillet sur Summer.fi ?

En une seule transaction atomique sur Ethereum, un attaquant a manipulé le prix de la part de deux vaults USDC de Lazy Summer Protocol et a dérobé 6,04 millions de dollars de capital appartenant aux déposants. Un vault agrégateur fonctionne comme un fonds automatisé : il regroupe les dépôts de nombreux utilisateurs et les répartit entre plusieurs stratégies de rendement, chacune gérée par un composant que Summer.fi appelle « Ark ». La valeur de votre part dépend de la somme de ce que valent toutes ces stratégies réunies. Briser cette somme revient à briser le vault.

La perte n'a pas été répartie équitablement. Le plus gros — environ 5,64 millions de dollars — provient du vault à moindre risque, précisément celui que de nombreux déposants choisissent pour son caractère conservateur ; le vault à risque plus élevé a perdu environ 400 000 dollars. Après la détection de l'attaque, les gardiens du protocole ont mis en pause tous les vaults de Lazy Summer et ont fixé les plafonds de dépôt à zéro en attendant la confirmation de la cause. Le token de gouvernance SUMR a chuté de plus de 18 % dans les heures qui ont suivi (CoinDesk) ; le post-mortem du lendemain situait la baisse à ~5,3 % après une récupération partielle.

Qu'est-ce que la « dette technique de valorisation » et pourquoi la TVL ne la montre-t-elle pas ?

En ingénierie logicielle, la dette technique est le raccourci qui fait gagner du temps aujourd'hui mais génère des intérêts demain : un code qui fonctionne jusqu'à ce que quelqu'un le mette à l'épreuve. La dette technique de valorisation est son équivalent comptable : c'est le décalage persistant entre la valeur qu'un contrat on-chain assigne à un actif et son prix réel de marché. Ce décalage se prolonge transaction après transaction jusqu'à ce que quelqu'un le convertisse en argent — dans le cas de Summer.fi, huit mois et 9,5 % de la NAV.

Le problème est que l'indicateur que tout le monde surveille — la TVL — ne distingue pas la valeur réelle de la valeur comptable. Un tableau de bord DeFiLlama additionne ce que chaque contrat prétend détenir, et non ce que le marché paierait pour cela. Si un vault rapporte qu'il détient un colatéral pour 100 alors que ce colatéral vaut 0, le tableau affiche 100. Le chiffre est techniquement vrai et économiquement faux à la fois. Cette distance entre les deux séries — le prix de marché et la valorisation on-chain — constitue la dette : elle n'apparaît dans aucun indicateur agrégé et ne se matérialise que lorsque quelqu'un décide de l'encaisser. Chez Summer.fi, le risque était signalé — le plafond de dépôt de l'Ark concerné avait été fixé à zéro le 30 octobre 2025 — et pourtant sa valorisation est restée à 100 % pendant les huit mois suivants.

Comment un colatéral mort en novembre valait-il encore 100 % en juillet ?

L'actif en question était un token du vault « Varlamore USDC Growth » de Silo, un protocole de prêt. Ce token était lié à l'écosystème qui s'est effondré lors de la chute de Stream Finance en novembre 2025. Quand Stream Finance a implosé, certains marchés de Silo associés ont été gelés : l'USDC des utilisateurs s'est retrouvé bloqué, impossible à retirer. Mais la valeur on-chain de ces tokens n'a jamais été ajustée à la baisse pour refléter cette situation. Pire encore : le contrat continuait d'accumuler des intérêts sur un capital qui n'existait plus de manière liquide. La comptabilité affichait un actif vivant et croissant là où le marché voyait un cadavre.

L'effondrement de Stream Finance en novembre 2025 a été l'un des épisodes de contagion les plus cités du cycle : un protocole de rendement dont la stratégie à effet de levier s'est désintégrée, entraînant avec elle les marchés de prêt qui lui avaient fourni des liquidités, dont Silo. Les tokens représentant ces dépôts sont restés bloqués, et leur valeur théorique — celle figurant sur la blockchain — s'est déconnectée de la valeur réelle, devenue pratiquement nulle faute d'acheteur.

Au sein de Lazy Summer, ce token dépendait d'un Ark déjà marqué pour être démantelé. Son plafond de dépôt était fixé à zéro et il figurait en processus de retrait après les incidents de 2025. Le problème est que le nettoyage n'a pas été finalisé : l'Ark continuait de faire partie du calcul de la NAV avec la valorisation héritée d'avant l'effondrement. Huit mois de dette de valorisation s'accumulant en silence, au sein d'une stratégie officiellement « en sortie » mais techniquement toujours comptabilisée. Et comme le contrat continuait de générer des intérêts sur ce capital fantôme, l'écart ne persistait pas seulement : il croissait chaque jour.

Pour visualiser clairement cet écart, il convient de mettre les deux chronologies côte à côte : ce que le marché disait du colatéral face à ce que disait la comptabilité du vault.

Comment manipule-t-on la valeur liquidative d'un vault agrégateur ?

L'attaque n'a pas été un coup de chance, mais une opération construite sur plusieurs mois. Les preuves on-chain indiquent que l'attaquant a financé plusieurs wallets le 6 avril 2026, environ trois mois avant l'incident, et a accumulé les tokens « zombies » de Silo via de multiples adresses. Les acheter était peu coûteux : personne d'autre n'en voulait. Mais au sein du vault, ces mêmes tokens valaient, sur le papier, bien plus que leur coût d'acquisition.

Le jour de l'attaque, la mécanique a enchaîné trois étapes. Premièrement, un flash loan — un prêt instantané contracté et remboursé au sein de la même transaction — a mobilisé environ 65,4 millions de dollars en stablecoins pour donner de la puissance à l'opération. Deuxièmement, l'attaquant a donné sa position surévaluée de tokens Silo à l'Ark en cours de retrait. Ce don a augmenté le totalAssets() rapporté par le vault d'environ 9,5 %, sans émettre de nouvelles parts et — détail décisif — sans ajouter un seul dollar de liquidité retirable. Le vault « croyait » désormais être plus riche. Troisièmement, l'attaquant a racheté ses parts à ce prix gonflé, encaissant l'USDC réel que les utilisateurs avaient déposé.

Le résultat est resté gravé sur les tableaux de bord : durant la transaction, l'APY rapporté de l'un des vaults a atteint des chiffres absurdes, de l'ordre de 2 080 000 %. Aucun actif sur la planète ne produit un tel rendement. C'était la signature mathématique d'une comptabilité brisée s'affichant en temps réel, un nombre si impossible qu'il faisait office d'aveu.

Était-ce une négligence de Summer.fi ou un risque accepté ?

Il convient d'être précis, car la nuance est importante. Selon le post-mortem lui-même, la cause profonde était un problème opérationnel lors du démantèlement d'une ancienne stratégie ; l'analyse exclut explicitement une faille dans les smart contracts du protocole. L'Ark était correctement marqué pour la sortie — plafond à zéro, signalé pour retrait —, mais l'exécution de cette sortie est restée inachevée, et pendant ce temps, sa valorisation obsolète a continué de peser sur la NAV.

Cela place l'incident dans une zone grise entre l'erreur et la décision consciente. Il n'y a, pour l'instant, aucune preuve publique que Summer.fi savait que cet actif était surévalué et a décidé de le laisser compter : le plus probable est une faille de processus, une tâche de nettoyage considérée comme faite sans avoir été clôturée. Mais la leçon reste la même, quelle que soit l'intention. Un processus d'offboarding — le retrait ordonné d'une stratégie — qui marque un actif « en sortie » sans le marquer simultanément « au prix de marché » laisse une brèche ouverte pendant toute la durée de la sortie. Et cette sortie, dans ce cas précis, a duré huit mois.

Quels risques connus des vaults agrégateurs le cas Summer.fi confirme-t-il ?

Oui, et c'est là tout l'intérêt d'analyser ce cas avec du recul. Dans notre analyse du 20 juillet sur la question de savoir si la DeFi rapporte plus que la banque, nous soutenions que le rendement supplémentaire des vaults agrégateurs n'est pas gratuit : il se paie par deux risques concrets. L'un est que la perte est massive et non répartie — quand quelque chose échoue, vous ne perdez pas une fraction diluée, vous perdez l'intégralité du vault qui a fait le mauvais choix. L'autre est le risque de curateur : votre argent repose sur les décisions de celui qui configure et maintient les stratégies, et non sur un contrat immuable.

Summer.fi est la confirmation empirique des deux. La perte a été massive : 5,64 millions concentrés sur le vault conservateur, et non une égratignure répartie entre des milliers d'utilisateurs. Et c'était du risque de curateur à l'état pur : l'actif défectueux n'a pas été introduit par l'attaquant, il a été traîné par le processus de gestion du vault lui-même. Le curateur de risques — BA Labs — documente cette faille dans sa rétrospective et souligne que sa propre couche de contrôle a fonctionné : il avait fixé à zéro le plafond de dépôt de l'Ark de Silo le 30 octobre 2025, huit mois avant l'attaque. La cause profonde qu'il pointe se situe un niveau plus haut, dans la comptabilité de la NAV et l'offboarding au niveau du protocole : le risque était identifié et pourtant la valorisation n'a jamais été révisée. L'attaquant n'a fait que trouver la porte que le processus avait laissée entrouverte. Pour une vue d'ensemble de ces risques, notre taxonomie des risques de vaults les classe par catégorie.

Combien de vaults détiennent aujourd'hui des actifs zombies valorisés à 100 % ?

Il n'y a pas de réponse publique. Stream Finance n'a pas affecté que Summer.fi : il a laissé des tokens gelés répartis dans plusieurs protocoles qui les utilisaient comme colatéral ou comme stratégie. Chacun de ces protocoles a dû décider, en novembre 2025, comment déprécier ces actifs. Ceux qui l'ont bien fait ont clôturé leur dette de valorisation immédiatement. Ceux qui ont attendu « l'offboarding » la traînent encore, exactement comme Lazy Summer, et ne le sauront que lorsque quelqu'un construira une position pour l'encaisser.

Le schéma se répète au-delà de Stream Finance. Nous l'avons déjà vu avec les stablecoins au colatéral opaque dans notre analyse de la crise d'attestation de msUSD : chaque fois qu'un actif peut rapporter une valeur que le marché ne valide pas, il existe une brèche exploitable. La TVL globale de la DeFi — des centaines de milliards de dollars — inclut une quantité inconnue de cette dette latente. Personne ne la comptabilise car, par définition, elle n'apparaît que lorsqu'elle se matérialise. L'attaque contre Summer.fi n'a pas créé le risque ; elle l'a révélé.

L'inconfort est accentué par le calendrier. Entre l'effondrement de novembre et l'attaque de juillet, il s'est écoulé presque huit mois durant lesquels l'actif était visible sur la blockchain, auditable par n'importe qui avec un explorateur de blocs, et pourtant il a continué de compter pour 100 %. L'attaquant n'a pas disposé d'informations privilégiées : il a disposé de temps et de la discipline nécessaire pour accumuler pendant trois mois un actif que le reste du marché considérait déjà comme mort. L'ampleur des dégâts se résume en un seul chiffre : sur une TVL pré-attaque d'environ 22 millions de dollars (CoinDesk/DefiLlama), l'extraction de 6,04 millions a emporté près de 27 % du capital du protocole.

Que demander avant de déposer dans un vault agrégateur ?

La leçon pratique n'est pas de fuir les vaults, mais de savoir les interroger. Avant de déposer du capital dans un agrégateur de rendement, ces questions permettent de distinguer un vault audité d'une boîte noire :

1. Comment le colatéral en cours de retrait est-il marqué au marché ? Un actif « en offboarding » doit être valorisé au prix de marché, et non au dernier bon prix connu. Si le protocole n'explique pas comment il procède, partez du principe qu'il ne le fait pas.
2. Y a-t-il des actifs avec un haircut — décote de valorisation — en attente qui comptent toujours pour 100 % dans la NAV ? Posez explicitement la question sur l'exposition résiduelle à des effondrements antérieurs — Stream Finance ou autre — figurant encore dans les stratégies.
3. Qui est le curateur et quel est son historique ? Un nom concret, pas « l'équipe ». Vérifiez s'il a publié des rétrospectives honnêtes sur des incidents précédents.
4. La NAV peut-elle être gonflée par don ? Un vault bien conçu ignore ou décompte les transferts directs d'actifs qui ne passent pas par le flux de dépôt normal.
5. Quelle est la liquidité réelle retirable aujourd'hui ? Le totalAssets() rapporté et la liquidité effectivement disponible peuvent diverger. Demandez le second chiffre.

Aucune de ces questions ne nécessite de savoir programmer. Elles exigent de traiter le rendement annoncé comme une hypothèse, et non comme une garantie, et de demander à celui qui le garde de le justifier par des données.

Que reste-t-il pour les déposants piégés ?

Au 21 juillet 2026, la gouvernance a déjà chiffré les dommages. La DAO de Lazy Summer a approuvé les propositions SIP1.7 et SIP1.8, qui retirent les fonds restants des deux vaults affectés — environ 4,3 millions de dollars alloués à Syrup, Term Finance et Origin —, déjà exécutées sur Base et avec une exécution cross-chain sur Ethereum prévue pour ce même 21 juillet. Selon l'équipe, les déposants affectés pourront récupérer environ 40% de leur valeur déposée — le reste de la perte étant socialisé après l'incident — via une campagne de réclamation sur Merkl, avec un snapshot pris au bloc suivant l'attaque. La proposition visant à transférer les fonds récupérés vers Merkl est toujours en attente, le calendrier final de distribution reste donc ouvert. Et il y a un épilogue majeur : le 15 juillet, Summer.fi a annoncé la fermeture ordonnée de la société ; l'application restera accessible jusqu'au 31 août 2026 et l'avenir du protocole est désormais entre les mains de la DAO.

Ce flou artistique constitue la dernière couche de la dette de valorisation : d'abord, la comptabilité n'a pas déprécié l'actif, puis l'attaquant a encaissé la différence, et maintenant un vote a déjà décidé de la part de cette perte qui leur incombe : ils récupèrent environ 40% des montants déposés, et le reste est socialisé. Le chiffre de 6,04 millions est le prix d'un seul Ark mal clôturé. La question qui reste en suspens — combien d'autres vaults traînent aujourd'hui leur propre actif zombie à 100% — restera sans réponse jusqu'à ce que le prochain attaquant patient décide de la poser.

Sources et liens : Post-mortem officiel de Summer.fi · Rétrospective du curateur BA Labs (forum Summer) · Mise à jour post-incident (forum Summer, 20-juil) · Annonce de fermeture de Summer.fi · CoinDesk · CryptoTimes · The Block · AMBCrypto · Blockchain Reporter