Scallop basado en Sui sufre un ataque de préstamo relámpago, se pierden $142K
- El protocolo Scallop perdió 142K en un ataque combinado de préstamo flash y manipulación de oráculo.
- La explotación abusó de una variable no inicializada, permitiendo que el atacante reclamara recompensas desproporcionadas.
- El atacante ofreció devolver el 80% como recompensa. Esto señala los riesgos crecientes derivados de código DeFi olvidado o heredado.
Scallop Protocol sufrió una explotación de préstamo relámpago el domingo. Se informa que el atacante drenó alrededor de $142,000 (150,000 SUI) en lo que parece ser un ataque de manipulación de oráculo altamente dirigido. Esto no tocó los contratos principales del protocolo, pero expuso un defecto de diseño más profundo.
Se informa que un atacante explotó un contrato lateral obsoleto vinculado al pool de recompensas sSUI de Scallop. Su equipo insta a que el protocolo principal permanezca intacto y que todos los depósitos de usuarios estén seguros. Sin embargo, la pérdida está completamente contenida en esa parte aislada.
¿Código antiguo o defecto de Oráculo?
Los analistas sugieren que el problema central fue la manipulación de los feeds de precios de oráculo personalizados de Scallop. Esto permitió al atacante deprimir artificialmente las tasas SUI/USDC y prestar activos a esos precios distorsionados. Luego reembolsó el préstamo relámpago dentro de la misma transacción. Al final, el sospechoso se fue con la diferencia.
Esto sigue un patrón de ataque DeFi familiar; sin embargo, la ejecución en este evento fue inusualmente precisa. El atacante no apuntó a código activo o rutas SDK estándar. Interactuó con un contrato V2 más antiguo de noviembre de 2023. Esta era una versión que había sido dejada pero seguía siendo llamable en la cadena. Sui mantiene todas las versiones de contratos desplegados inmutables y accesibles. Esa es la razón por la que este paquete desactualizado se convirtió en una superficie de ataque oculta.
Precio de Sui no ha sufrido un golpe tras la vulnerabilidad. Ha subido casi un 2% en las últimas 24 horas. Sui se cotiza a $0.94 en el momento de la redacción. Su volumen de negociación de 24 horas ronda los $187 millones.
Un experto en un post mencionó que la falla en sí era sutil pero grave. En el contrato obsoleto, una variable clave «last_index» nunca se inicializó cuando se creaba una nueva cuenta. Esto permitió al atacante reclamar recompensas como si hubiera estado apostando desde el inicio del pool.
Con el índice de recompensas que había crecido con el tiempo, el atacante pasó a acreditarse a sí mismo con todo el pool de recompensas en una sola transacción. Mencionó que el índice de Spool creció hasta 1.19B en 20 meses.
El atacante apostó 136K sSUI y se acreditó con 162 billones de puntos. Sin embargo, el pool de recompensas tenía una tasa de cambio 1:1 (numerador y denominador ambos = 1), por lo que 162T puntos se convirtieron directamente en 162K SUI en valor de recompensas. El pool solo tenía 150K SUI y todos fueron drenados.
Los datos on-chain muestran que los fondos robados fueron enrutados rápidamente a través de un servicio de mezcla, similar a Tornado Cash en Sui. Esto hace que la recuperación sea aún más difícil.
Scallop vuelve a estar en línea tras el hackeo
El equipo de Scallop respondió pausando temporalmente las operaciones. Luego informaron que han desbloqueado los contratos principales y que todas las operaciones se han reanudado. Un post en X destacó que el problema no estaba relacionado con el protocolo principal y estaba aislado en un contrato de recompensas obsoleto. Al final, los depósitos no se vieron afectados y todos los fondos permanecen seguros. Los retiros y depósitos ahora operan con normalidad.
🚨 Scallop sufre un exploit de préstamo flash en Sui, pierde $142,000 en un ataque de manipulación de oráculo
DETALLES 👇
¿QUÉ OCURRIÓ?
> El 26 de abril de 2026, el protocolo de préstamos Scallop experimentó un exploit de préstamo flash que apuntaba a un contrato lateral obsoleto relacionado con su pool de recompensas sSUI spool
— Sophia Hodlberg (@sophiaHodlberg) Abril 26, 2026
Se informa que el atacante contactó al equipo y ofreció devolver el 80% de los fondos a cambio de una recompensa por caza de vulnerabilidades (white-hat). El incidente ahora está siendo investigado. El equipo revisará cómo la falla pasó desapercibida en auditorías previas realizadas por firmas como OtterSec y MoveBit.
Cryptopolitan informó que muchos de los incidentes principales de abril de 2026 no provienen de la lógica del protocolo principal. Surgieron de contratos antiguos, adaptadores o capas de infraestructura que siguen siendo accesibles pero pasados por alto. Las pérdidas acumuladas superaron los $750 millones a mediados de abril. Solo abril de 2026 ha representado más de $600 millones en fondos robados en 12 incidentes principales.
Kelp DAO y Drift Protocol, en conjunto, han representado aproximadamente el 95% de las pérdidas de abril. El ataque a Kelp resultó en $177 millones en deuda mala en Aave. Mientras tanto, el Consejo de Seguridad de Arbitrum congeló con éxito 30,766 ETH (aproximadamente valorados en $71 millones) de los fondos robados.
Hyperliquid sigue siendo el token más grande en la categoría DeFi. El precio de HYPE ha subido un 10% en los últimos 30 días. Se cotiza a $41.95 en el momento de la redacción. Chainlink ocupa el segundo lugar. LINK operó alrededor de $9.4.
No te limites a leer noticias sobre criptomonedas. Entiéndelas. Suscríbete a nuestro boletín. Es gratis.
Aviso de responsabilidad. La información proporcionada no es un consejo de trading. Cryptopolitan.com no asumimos responsabilidad alguna por las inversiones realizadas basándose en la información proporcionada en esta página. Recomendamos encarecidamente la investigación independiente y/o la consulta con un profesional calificado antes de tomar cualquier decisión de inversión.
Ashish Kumar
Ashish Kumar es periodista especializado en criptomonedas y finanzas con ocho años de experiencia en redacciones. Cubre lo que ocurre en los mercados de criptomonedas, la regulación, DeFi y los ecosistemas de exchanges. Ha trabajado en Coingape, Todayq y Newsroompost. Ashish posee un PGDP en Periodismo Inglés del IIMC. También ha entrevistado a figuras del sector como Arthur Hayes, Yat Siu, Austin Federa y más.
