Nyheter

BONK och Summer.fi: två DeFi-säkerhetsincidenter

Den 6 juli 2026 drabbade två orelaterade incidenter den decentraliserade kryptosektorn. Solana-ekosystemets BonkDAO förlorade omkring 20 miljoner dollar genom en skadlig styrningsröstning (angriparen spenderade ~4,4 miljoner för att nå beslutsförhet), medan DeFi-protokollet Summer.fi stoppade sina Lazy Summer-valv efter ett exploit på cirka 6 miljoner dollar. Vi tittar på vad som hände, vad Summer.fi är och erbjuder, och vad det betyder för baltiska och nordiska användare.

Toms Ābeltiņš

8 juli 20268 min läsning

BONK och Summer.fi: två DeFi-säkerhetsincidenter

Den 6 juli 2026 var två orelaterade säkerhetsincidenter en påminnelse om riskerna med decentraliserade protokoll. Solana-ekosystemets BonkDAO förlorade omkring 20 miljoner dollar i BONK-tokens genom en skadlig styrningsröstning: angriparen spenderade cirka 4,4 miljoner dollar på att köpa omkring 1% av BONK-utbudet för att nå beslutsförhet och driva igenom ett förslag som tömde skattkammaren. Samma dag stoppade DeFi-protokollet Summer.fi sina Lazy Summer-valv efter ett flash loan-exploit på cirka 6 miljoner dollar, där ett flash loan på 65 miljoner dollar användes för att manipulera valvens bokföring. Vi tittar på hur båda attackerna gick till, vad Summer.fi är och erbjuder, riskerna och vad det betyder för baltiska och nordiska användare i MiCA-kontexten.

Vad hände

Den 6 juli 2026 påminde två oberoende säkerhetsincidenter om att riskerna med decentraliserade protokoll och styrningstokens finns kvar oavsett hur hårt reglerad sektorn för centraliserade börser blir. Solana-ekosystemets BonkDAO förlorade BONK-tokens till ett värde av omkring 20 miljoner dollar genom en skadlig styrningsomröstning, medan DeFi-avkastningsprotokollet Summer.fi stoppade sina Lazy Summer-valv efter en exploatering värd cirka 6 miljoner dollar.

Båda fallen bär en läxa även för baltiska och nordiska användare: MiCA stärker tillsynen över centraliserade börser (CASP:er), men decentraliserade protokoll och deras styrningsmekanismer ligger till stor del utanför det ramverket, och de tekniska och ekonomiska riskerna där är annorlunda.

BonkDAO-styrningsattacken - så gick det till

BONK är en av Solanas största "memecoins", och dess community förvaltar en skattkista genom den decentraliserade autonoma organisationen BonkDAO. Attacken utnyttjade inte ett fel i ett smart kontrakt - i stället tog angriparen över själva omröstningsmekanismen.

Händelseförloppet:

Den 30 juni lämnade en anonym plånbok in ett förslag om att överföra skattkistans medel till en plånbok som den kontrollerade.
För att förslaget skulle träda i kraft krävdes ett beslutsfört antal - "ja"-röster motsvarande 1 % av BONK:s utbud.
Den 4 och 5 juli köpte en separat plånbok exakt så mycket BONK (omkring 1 % av utbudet) och spenderade ungefär 4,4 miljoner dollar på börserna Bybit och Binance.
Med den röstmakten uppnådde angriparen på egen hand det beslutsföra antalet. Omröstningen gick igenom med 99,9 % "ja", och plånböcker kopplade till angriparen kontrollerade omkring 99,878 % av de avlagda rösterna.
Som ett resultat överfördes ungefär 4,426 biljoner BONK-tokens från skattkistan till angriparens plånbok.

BONK:s pris föll omkring 8-10 %. BonkDAO uppgav att de samarbetar med Solana Foundation och börser för att spåra och frysa de stulna tillgångarna.

Vad är en styrningsattack

En styrningsattack är en situation där någon får tillräckligt med röstmakt för att driva igenom ett beslut till sin egen fördel inom en DAO - till exempel att omdirigera skattkistan eller ändra protokollparametrar. Till skillnad från en kodsårbarhet är det här inte mjukvaran som blir "hackad" utan beslutsfattandesystemet.

BonkDAO-fallet möjliggjordes av lågt valdeltagande: om de flesta tokeninnehavare inte röstar kan en relativt liten men koncentrerad röstposition uppnå det beslutsföra antalet och avgöra utfallet. Detta är ett strukturellt DAO-problem, inte ett specifikt teams fel, och liknande attacker har historiskt drabbat även andra protokoll (t.ex. Beanstalk 2022).

Summer.fi-exploateringen - så gick det till

I dagens andra incident drabbades DeFi-plattformen Summer.fi av en exploatering av ett smart kontrakt. Angriparen använde ett flash loan - ett lån som tas upp och återbetalas inom en enda transaktion.

Det tekniska förloppet, som det beskrivs av säkerhetsföretag:

Angriparen tog ett flash loan i USDC på ungefär 65,4 miljoner dollar.
Med det manipulerade de bokföringslogiken i Lazy Summer-valven (byggda på ERC-4626-standarden) och "blåste" på konstgjord väg upp värdet på tillgångarna i valvet.
På grund av det uppblåsta tillståndet kunde angriparen lösa in fler andelar än vad som egentligen tillkom, nådde en inlösen på omkring 70,9 miljoner dollar och gick därifrån med ungefär 6 miljoner dollar i vinst.

Incidenten uppmärksammades först av säkerhetsföretaget Blockaid; PeckShield och CertiK rapporterade också misstänkt aktivitet. Summer.fi bekräftade att protokollets "guardians" pausade de berörda valven för att förhindra ytterligare förluster. Plattformens SUMR-token föll med mer än 18 %. Enligt data från DeFiLlama hade protokollet ungefär 22 miljoner dollar i totalt låst värde (TVL) före attacken. En del av medlen spårades, bland annat via blandningstjänsten Tornado Cash.

Vad Summer.fi är och vad det erbjuder

Summer.fi är ett DeFi-orkestrerings- och automatiseringslager som fungerar ovanpå basprotokoll som Aave, Sky (tidigare Maker) och Morpho. Idén: i stället för att användaren manuellt genomför transaktioner och bevakar likvidationsrisk i varje protokoll låter Summer.fi dig automatisera positioner och strategier i ett enda gränssnitt.

Plattformen har två huvudprodukter:

Lazy Summer Protocol - ett "set-and-forget"-tillvägagångssätt för passiv avkastning. Det erbjuder Lazy Vaults - kurerade, diversifierade portföljer som AI-drivna "Keepers" automatiskt balanserar om mellan protokoll i jakt på bästa avkastning. Enligt företaget genomfördes mer än 75 000 automatiska ombalanseringsåtgärder under 2025.
Summer.fi Pro - ett mer avancerat tillvägagångssätt för erfarna användare, med mer manuell kontroll över positioner, lån och strategier.

Summer.fi positionerar sig som ett non-custodial-lager - det tar aldrig kontroll över användarnas medel. Lazy Summer Protocol är tillgängligt på nätverken Ethereum, Base och Arbitrum. I samband med denna incident noterade vissa analytiker att AI-driven automatisering lägger till ett nytt risklager ovanpå den klassiska risken med smarta kontrakt i DeFi.

Påverkan på baltiska och nordiska användare

Den direkta ekonomiska påverkan på regionala användare är sannolikt begränsad - BONK och SUMR är inte tillgångar som innehas i stor utsträckning i Baltikum och Norden, och inget av protokollen är en lokal tjänsteleverantör. Ändå bär incidenterna en bredare betydelse:

Den regulatoriska gränsen. MiCA kräver licensiering och tillsyn för centraliserade leverantörer av kryptotillgångstjänster (CASP:er), men decentraliserade protokoll och DAO-styrning ligger till stor del utanför det ramverket. En licensierad börs betyder inte att de DeFi-tokens som handlas på den är "säkra".
Olika typer av risk. Risker med centraliserade börser (solvens, förvaring, interna kontroller) skiljer sig från DeFi-risker (fel i smarta kontrakt, styrningsattacker, flash loan-manipulation).
Undersök innan du deltar. Innan du placerar medel i en DAO eller ett DeFi-valv är det värt att förstå styrningsmodellen, reglerna för beslutsförhet, revisionshistoriken och vem som egentligen kontrollerar röstmakten.

Risker och det skeptiska perspektivet

De två incidenterna belyser olika men besläktade risker. Styrningsattacker visar att decentralisering på pappret (tokenröstning) i praktiken kan vara centraliserad om deltagandet är lågt och röstmakt kan köpas på marknaden. Flash loan-exploateringar visar att även non-custodial, "väl reviderade" protokoll kan innehålla subtila bokföringsfel som kan utnyttjas med stort, kortlivat kapital.

Samtidigt är perspektivet viktigt: ingen av incidenterna är systemisk för hela kryptobranschen, och flera DeFi-protokoll har historiskt återfått en del av medlen genom "white hat"-uppgörelser och spårning. Ändå kräver löften om hög avkastning eller "automatiserad" säkerhet alltid en oberoende bedömning.

Vad som händer härnäst

BonkDAO - huruvida en del av den stulna BONK kan frysas eller återvinnas med hjälp av börser och Solana Foundation, och huruvida DAO:n reviderar sina regler för beslutsförhet och omröstning.
Summer.fi - återupptagande av valv efter revisioner, en möjlig "white hat"-uppgörelse med angriparen och en fullständig incidentgenomgång (post-mortem).
En branschläxa - mer uppmärksamhet på säkerheten i DAO-styrning (beslutsförhet, tidsfördröjningar, multisig-kontroller) och på revisioner av bokföringen i ERC-4626-valv.

Relaterade artiklar

Källor

Detta är en informativ översikt, inte investeringsrådgivning. Kryptotillgångar, DAO-styrningstokens och DeFi-protokoll är högriskprodukter. Gör din egen research innan du fattar beslut.

Norriwire Briefing