Scallop basé sur Sui victime d'une attaque par prêt flash, perte de 142K
- Le protocole Scallop a perdu 142 000 $ dans le cadre d'une attaque combinant un prêt flash et une manipulation d'oracle.
- L'exploitation a abusé d'une variable non initialisée, permettant à l'attaquant de réclamer des récompenses disproportionnées.
- L'attaquant s'est proposé de restituer 80 % en tant que prime. Cela souligne les risques croissants liés aux codes DeFi oubliés ou hérités.
Le protocole Scallop a été touché par une exploitation de prêt flash dimanche. L'attaquant aurait vidé environ 142 000 $ (150 000 SUI) dans ce qui semble être une attaque de manipulation d'oracle hautement ciblée. Celle-ci n'a pas touché les contrats principaux du protocole mais a exposé une faille de conception plus profonde.
Un attaquant aurait exploité un contrat secondaire obsolète lié au pool de récompenses sSUI de Scallop. Son équipe exhorte à ce que le protocole principal reste intact et que tous les dépôts des utilisateurs soient sûrs. Cependant, la perte est entièrement contenue dans cette partie isolée.
Ancien code ou faille Oracle ?
Les analystes suggèrent que le problème fondamental était la manipulation des flux de prix d'oracle personnalisés de Scallop. Cela a permis à l'attaquant de baisser artificiellement les taux SUI/USDC et d'emprunter des actifs à ces prix déformés. Il a ensuite remboursé le prêt flash au sein de la même transaction. Au final, le suspect est reparti avec la différence.
Cela suit un schéma d'attaque DeFi familier ; cependant, l'exécution dans cet événement était inhabituellement précise. L'attaquant n'a pas ciblé le code actif ou les routes SDK standard. Il a interagi avec un ancien contrat V2 de novembre 2023. C'était une version qui avait été laissée de côté mais qui restait appelable sur la chaîne. Sui conserve toutes les versions de contrats déployées comme immuables et accessibles. C'est pourquoi ce package obsolète est devenu une surface d'attaque cachée.
Prix de Sui n'a pas subi de chocs après l'exploitation. Il est en hausse de près de 2 % au cours des dernières 24 heures. Sui est négocié à 0,94 $ au moment de la rédaction. Son volume de négociation sur 24 heures oscille autour de 187 millions de dollars.
Un expert dans un post a mentionné que la faille elle-même était subtile mais grave. Dans le contrat obsolète, une variable clé « last_index » n'a jamais été initialisée lors de la création d'un nouveau compte. Cela a permis à l'attaquant de réclamer des récompenses comme s'il avait mis en staking depuis le début du pool.
Avec l'indice de récompense ayant augmenté au fil du temps, l'attaquant a pu se créditer de l'intégralité du pool de récompenses en une seule transaction. Il a mentionné que l'indice Spool est passé à 1,19 milliard sur 20 mois.
L'attaquant a mis en staking 136K sSUI et s'est vu créditer de 162 billions de points. Cependant, le pool de récompenses fonctionnait avec un taux de change 1:1 (numérateur et dénominateur égaux à 1), donc 162T points se sont convertis directement en 162K SUI de récompenses. Le pool ne contenait que 150K SUI et tous ont été vidés.
Les données on-chain montrent que les fonds volés ont été rapidement acheminés via un service de mélange, similaire à Tornado Cash sur Sui. Cela rend la récupération encore plus difficile.
Scallop de retour en ligne après le piratage
L'équipe de Scallop a répondu en mettant temporairement les opérations en pause. Elle a ensuite signalé qu'elle avait dégelé les contrats principaux et que toutes les opérations ont repris. Un post sur X a souligné que le problème n'était pas lié au protocole principal et était isolé à un contrat de récompenses obsolète. Au final, les dépôts n'ont pas été impactés et tous les fonds restent sûrs. Les retraits et les dépôts fonctionnent désormais normalement.
🚨 Scallop victime d'une exploitation de prêt flash sur Sui, perd 142 000 $ dans une attaque de manipulation d'oracle
DÉTAILS 👇
QU'EST-CE QUI S'EST PASSÉ ?
> Le 26 avril 2026, le protocole de prêt Scallop a subi une exploitation de prêt flash ciblant un contrat secondaire obsolète lié à son pool de récompenses sSUI
— Sophia Hodlberg (@sophiaHodlberg) avril 26, 2026
L'attaquant aurait contacté l'équipe et proposé de rendre 80 % des fonds en échange d'une prime de chapeau blanc. L'incident est actuellement en cours d'enquête. L'équipe vérifiera comment la faille a passé les audits précédents par des entreprises telles qu'OtterSec et MoveBit.
Cryptopolitan a rapporté que de nombreux incidents majeurs d'avril 2026 n'ont pas provenu de la logique principale du protocole. Ils sont émergés de vieux contrats, d'adaptateurs ou de couches d'infrastructure qui restent accessibles mais négligées. Les pertes cumulées ont dépassé 750 millions de dollars à la mi-avril. Avril 2026 à lui seul a représenté plus de 600 millions de dollars de fonds volés au cours de 12 incidents majeurs.
Kelp DAO et Drift Protocol, ensemble, ont représenté environ 95 % des pertes d'avril. L'attaque contre Kelp a entraîné 177 millions de dollars de dettes improductives sur Aave. Pendant ce temps, le Conseil de sécurité d'Arbitrum a réussi à geler 30 766 ETH (d'une valeur approximative de 71 millions de dollars) des fonds volés.
Hyperliquid reste le plus grand token de la catégorie DeFi. Le prix du HYPE est en hausse de 10 % au cours des 30 derniers jours. Il est négocié à 41,95 $ au moment de la rédaction. Chainlink se situe au 2e rang. Le LINK a été négocié autour de 9,4 $.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Ashish Kumar
Ashish Kumar est un journaliste spécialisé dans la crypto et la finance, avec huit ans d'expérience en rédaction. Il couvre l'actualité des marchés cryptographiques, de la réglementation, de la DeFi et des écosystèmes d'échanges. Il a travaillé pour Coingape, Todayq et Newsroompost. Ashish détient un PGDP en journalisme anglais de l'IIMC. Il a également interviewé des personnalités du secteur telles qu'Arthur Hayes, Yat Siu, Austin Federa, et bien d'autres.
