- Das Scallop Protocol verlor 142.000 USD durch einen Flash-Loan, der mit einer Oracle-Manipulation kombiniert wurde.
- Der Exploit missbrauchte eine nicht initialisierte Variable, wodurch der Angreifer überhöhte Belohnungen beanspruchen konnte.
- Der Angreifer bot an, 80 % als Belohnung zurückzugeben. Dies deutet auf steigende Risiken durch vergessenen oder Legacy-DeFi-Code hin.
Scallop Protocol wurde am Sonntag von einem Flash-Loan-Exploit getroffen. Berichten zufolge hat der Angreifer rund 142.000 US-Dollar (150.000 SUI) in einem scheinbar hoch gezielten Oracle-Manipulationsangriff abgezogen. Dies berührte nicht die Kernverträge des Protokolls, legte jedoch einen tieferen Designfehler offen.
Berichten zufolge hat ein Angreifer einen veralteten Side-Contract ausgenutzt, der mit Scallops sSUI-Belohnungspool verbunden ist. Das Team rät dazu, dass das Kernprotokoll intakt bleibt und alle Einlagen der Nutzer sicher sind. Der Verlust ist jedoch vollständig auf diesen isolierten Teil beschränkt.
Alter Code oder Oracle-Flaw?
Analysten deuten darauf hin, dass das Kernproblem die Manipulation von Scallops benutzerdefinierten Oracle-Preisfeeds war. Dies ermöglichte es dem Angreifer, die SUI/USDC-Kurse künstlich zu drücken und Vermögenswerte zu diesen verzerrten Preisen zu leihen. Anschließend wurde der Flash-Loan innerhalb derselben Transaktion zurückgezahlt. Am Ende nahm der Verdächtige die Differenz mit.
Dies folgt einem bekannten Muster von DeFi-Angriffen; die Ausführung bei diesem Vorfall war jedoch ungewöhnlich präzise. Der Angreifer zielte nicht auf aktiven Code oder Standard-SDK-Routen ab. Er interagierte mit einem älteren V2-Vertrag von November 2023. Dies war eine Version, die zwar verlassen, aber weiterhin on-chain aufrufbar war. Sui speichert alle bereitgestellten Vertragsversionen als unveränderlich und zugänglich. Genau deshalb wurde dieses veraltete Paket zu einer versteckten Angriffsfläche.
Sui-Preis hat nach dem Exploit keinen Einbruch erlitten. In den letzten 24 Stunden ist er um fast 2 % gestiegen. Sui wird zum Zeitpunkt der Drucklegung zu 0,94 US-Dollar gehandelt. Das 24-Stunden-Handelsvolumen liegt bei rund 187 Millionen US-Dollar.
Ein Experte in einem Beitrag erwähnte, dass der Fehler selbst subtil, aber schwerwiegend war. In dem veralteten Vertrag wurde eine Schlüsselvariable „last_index“ nie initialisiert, wenn ein neues Konto erstellt wurde. Dies ermöglichte es dem Angreifer, Belohnungen zu beanspruchen, als hätte er seit Beginn des Pools gestaked.
Da sich der Belohnungsindex im Laufe der Zeit erhöht hatte, konnte der Angreifer in einer einzigen Transaktion den gesamten Belohnungspool für sich verbuchen. Er erwähnte, dass sich der Spool-Index über 20 Monate auf 1,19 Mrd. erhöht habe.
Der Angreifer stakede 136K sSUI und erhielt 162 Billionen Punkte gutgeschrieben. Da der Belohnungspool jedoch ein 1:1-Umtauschverhältnis hatte (Zähler und Nenner beide = 1), wurden 162 Billionen Punkte direkt in 162K SUI an Belohnungen umgewandelt. Der Pool hatte nur 150K SUI darin, und alle wurden abgezogen.
On-Chain-Daten zeigen, dass die gestohlenen Mittel schnell über einen Mixing-Service geleitet wurden, ähnlich wie Tornado Cash auf Sui. Dies macht die Rückgewinnung noch schwieriger.
Scallop nach Hack wieder online
Das Scallop-Team reagierte, indem es den Betrieb vorübergehend aussetzte. Anschließend wurde gemeldet, dass die Kernverträge entfroren wurden und der Betrieb wieder aufgenommen wurde. Ein X-Post hob hervor, dass das Problem nicht mit dem Kernprotokoll zusammenhing und auf einen veralteten Belohnungs-Contract beschränkt war. Am Ende wurden die Einlagen der Nutzer nicht beeinträchtigt, und alle Mittel sind sicher. Die Auszahlungen und Einzahlungen laufen nun wieder normal.
🚨 Scallop von Flash-Loan-Exploit auf Sui getroffen, verliert 142.000 US-Dollar bei Oracle-Manipulationsangriff
DETAILS 👇
WAS GESCHAH?
> Am 26. April 2026 erlitt das Scallop-Lending-Protokoll einen Flash-Loan-Angriff, der einen veralteten Side-Contract im Zusammenhang mit seinem sSUI-Spool-Belohnungspool zielte
— Sophia Hodlberg (@sophiaHodlberg) April 26, 2026
Der Angreifer soll das Team kontaktiert und angeboten haben, 80 % der Mittel zurückzugeben, im Austausch für eine White-Hat-Bounty. Der Vorfall wird derzeit untersucht. Das Team wird prüfen, wie der Fehler an früheren Audits durch Firmen wie OtterSec und MoveBit vorbeigehen konnte.
Cryptopolitan berichtete > Viele der großen Vorfälle im April 2026 gingen nicht auf die Kernprotokolllogik zurück. Sie entstanden durch alte Verträge, Adapter oder Infrastrukturschichten, die zwar zugänglich, aber übersehen wurden. Die kumulierten Verluste beliefen sich bis Mitte April auf über 750 Millionen US-Dollar. Allein im April 2026 wurden bei 12 großen Vorfällen mehr als 600 Millionen US-Dollar gestohlen.
Kelp DAO und Drift Protocol machten zusammen etwa 95 % der Verluste im April aus. Der Angriff auf Kelp führte zu 177 Millionen US-Dollar an schlechten Schulden bei Aave. Gleichzeitig konnte der Sicherheitsrat von Arbitrum 30.766 ETH (geschätzt 71 Millionen US-Dollar) der gestohlenen Mittel einfrieren.
Hyperliquid ist nach wie vor der größte Token in der DeFi-Kategorie. Der HYPE-Preis ist in den letzten 30 Tagen um 10 % gestiegen. Zum Zeitpunkt der Drucklegung wird er mit 41,95 US-Dollar gehandelt. Chainlink belegt den zweiten Platz. LINK handelte bei rund 9,40 US-Dollar.
Wenn Sie dies lesen, sind Sie bereits einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Ashish Kumar
Ashish Kumar ist ein Krypto- und Finanzjournalist mit acht Jahren Erfahrung in der Nachrichtenredaktion. Er berichtet über Entwicklungen in den Kryptomärkten, Regulierungen, DeFi und Ökosysteme von Börsen. Er arbeitete für Coingape, Todayq und Newsroompost. Ashish besitzt einen PGDP in englischer Journalistik vom IIMC. Zudem interviewte er Branchenexperten wie Arthur Hayes, Yat Siu, Austin Federa und weitere.
