بروتوكول Scallop المستند إلى Sui يتعرض لهجوم قرض فلاش، وخسارة قدرها 142 ألف دولار

تعرض بروتوكول Scallop لهجوم قرض فلاش يوم الأحد. وبحسب التقارير، سحب المهاجم حوالي 142,000 دولار (150,000 SUI) في ما يبدو أنه هجوم استهداف دقيق لتلاعب بالأوراكل. لم يمس هذا الهجوم العقود الأساسية للبروتوكول لكنه كشف عن عيب تصميم أعمق.

وفقًا للتقارير، استغل المهاجم عقدًا جانبيًا متقادمًا مرتبطًا بمجمع مكافآت sSUI الخاص بـ Scallop. تحث فريقهم على بقاء البروتوكول الأساسي سليمًا وأن جميع ودائع المستخدمين آمنة. ومع ذلك، فإن الخسارة مقصورة بالكامل على هذا الجزء المعزول.

كود قديم أم عيب في الأوراكل؟

يشير المحللون إلى أن المشكلة الأساسية كانت التلاعب بمجمعات أسعار الأوراكل المخصصة لـ Scallop. سمح ذلك للمهاجم بخفض أسعار SUI/USDC بشكل مصطنع واقتراض الأصول بهذه الأسعار المشوهة. ثم سدد القرض الفلاش في نفس المعاملة. في النهاية، غادر المشتبه به بالفرق.

هذا يتبع نمط هجوم DeFi المألوف؛ ومع ذلك، كان التنفيذ في هذه الحادثة دقيقًا بشكل غير عادي. لم يستهدف المهاجم الكود النشط أو مسارات SDK القياسية. تفاعل مع عقد V2 أقدم من نوفمبر 2023. كانت هذه نسخة كانت قد تُركت لكنها ظلت قابلة للاستدعاء على السلسلة. يحتفظ Sui بجميع إصدارات العقود المنشرة بأنها غير قابلة للتغيير ومتاحة. هذا هو السبب في أن هذه الحزمة القديمة أصبحت سطح هجوم خفي.

سعر Sui لم يتأثر بعد الهجوم. وهو يرتفع بنسبة تقارب 2٪ في آخر 24 ساعة. يتداول Sui عند 0.94 دولار في وقت إعداد التقرير. حجم تداوله على مدار 24 ساعة يتراوح حول 187 مليون دولار.

خبير في المنشور ذكر أن العيب نفسه كان دقيقًا لكنه شديد الخطورة. في العقد المتقادم، لم يتم تهيئة متغير رئيسي "last_index" عند إنشاء حساب جديد. سمح ذلك للمهاجم بالمطالبة بالمكافآت كما لو كان قد قام بالتstaking منذ بداية المجمع.

بما أن مؤشر المكافآت نما مع مرور الوقت، انتقل المهاجم ليحسب لنفسه كامل مجمع المكافآت في معاملة واحدة. ذكر أن مؤشر Spool نما إلى 1.19 مليار على مدار 20 شهرًا. 

قام المهاجم بالتstaking بـ 136 ألف sSUI وحصل على اعتماد 162 تريليون نقطة. ومع ذلك، كان لمجمع المكافآت معدل تبادل 1:1 (البسط والمقام كلاهما = 1)، لذا تحولت 162 تريليون نقطة مباشرة إلى مكافآت بقيمة 162 ألف SUI. كان المجمع يحتوي فقط على 150 ألف SUI وتم سحب كل منها.

تظهر بيانات السلسلة أن الأموال المسروقة تم توجيهها بسرعة عبر خدمة خلط، مشابهة لـ Tornado Cash على Sui. هذا يجعل الاسترداد أكثر صعوبة.

Scallop يعود للعمل بعد الاختراق

استجاب فريق Scallop عن طريق إيقاف العمليات مؤقتًا. ثم أبلغوا أنهم قاموا بإلغاء تجميد العقود الأساسية وقد استؤنفت جميع العمليات. سلط منشور على X الضوء على أن المشكلة لم تكن متعلقة بالبروتوكول الأساسي وكانت معزولة في عقد مكافآت متقادم. في النهاية، لم تتأثر إيداعات المستخدمين وجميع الأموال لا تزال آمنة. عمليات السحب والإيداع تعمل الآن بشكل طبيعي.

🚨 تعرض Scallop لهجوم قرض فلاش على Sui، وخسارة 142,000 دولار في هجوم تلاعب بالأوراكل

التفاصيل 👇

ماذا حدث؟

> في 26 أبريل 2026، تعرض بروتوكول الإقراض Scallop لهجوم قرض فلاش استهدف عقدًا جانبيًا متقادمًا مرتبطًا بمجمع مكافآت sSUI

>… pic.twitter.com/xoZbLzGCf0

— صوفيا هودلبرغ (@sophiaHodlberg) أبريل 26، 2026

وفقًا للتقارير، تواصل المهاجم مع الفريق وعرض إعادة 80٪ من الأموال مقابل مكافأة أخلاقية. الحادثة قيد التحقيق الآن. سيتحقق الفريق من كيفية مرور العيب خلال عمليات التدقيق السابقة من قبل شركات مثل OtterSec و MoveBit.

Cryptopolitan في يونيو أن DFS اقترحت لوائح جديدة للعملات المستقرة تهدف إلى مواءمتها مع قانون GENIUS ACT مع الحفاظ على ضوابطها الحالية. ويشمل ذلك التغطية الكاملة بالاحتياطيات والتدقيق المستقل. لم تكن العديد من الحوادث الرئيسية في أبريل 2026 ناتجة عن منطق البروتوكول الأساسي. بل ظهرت من عقود قديمة، أو محولات، أو طبقات بنية تحتية لا تزال متاحة لكنها مُهمَلة. تجاوزت الخسائر التراكمية 750 مليون دولار بحلول منتصف أبريل. وقد شكلت حوادث أبريل 2026 وحدها أكثر من 600 مليون دولار من الأموال المسروقة عبر 12 حادثاً رئيسياً. 

مثلت Kelp DAO وDrift Protocol معاً حوالي 95% من الخسائر في أبريل. أسفر الهجوم على Kelp عن ديون سيئة بقيمة 177 مليون دولار على Aave. وفي الوقت نفسه، نجح مجلس أمان Arbitrum في تجميد 30,766 ETH (تقدر قيمتها بحوالي 71 مليون دولار) من الأموال المسروقة.

لا يزال Hyperliquid أكبر عملة في فئة DeFi. ارتفع سعر HYPE بنسبة 10% خلال آخر 30 يوماً. وهو يتداول عند 41.95 دولاراً في وقت إعداد هذا التقرير. يأتي Chainlink في المرتبة الثانية، حيث تداول LINK حول 9.4 دولار.