- Il protocollo Scallop ha perso 142.000 $ in un attacco combinato di flash loan e manipolazione dell'oracle.
- L'exploit ha sfruttato una variabile non inizializzata, permettendo all'attaccante di richiedere ricompense sproporzionate.
- L'attaccante si è offerto di restituire l'80% come bounty. Questo indica rischi crescenti legati a codice DeFi dimenticato o legacy.
Scallop Protocol è stato colpito da un exploit di flash loan domenica. L'attaccante avrebbe drenato circa 142.000 dollari (150.000 SUI) in quello che sembra essere un attacco di manipolazione dell'oracle altamente mirato. Questo non ha toccato i contratti principali del protocollo ma ha esposto un difetto di progettazione più profondo.
Un attaccante avrebbe sfruttato un contratto secondario deprecato legato al pool di premi sSUI di Scallop. Il loro team esorta a mantenere intatto il protocollo principale e che tutti i depositi degli utenti siano sicuri. Tuttavia, la perdita è interamente contenuta in quella parte isolata.
Codice vecchio o difetto Oracle?
Gli analisti suggeriscono che il problema principale fosse la manipolazione dei feed di prezzo personalizzati dell'oracle di Scallop. Ciò ha permesso all'attaccante di deprimere artificialmente i tassi SUI/USDC e di prendere in prestito asset a quei prezzi distorti. Ha poi rimborsato il flash loan all'interno della stessa transazione. Alla fine, il sospetto se n'è andato con la differenza.
Questo segue un modello di attacco DeFi familiare; tuttavia, l'esecuzione in questo evento è stata insolitamente precisa. L'attaccante non ha preso di mira codice attivo o percorsi SDK standard. Ha interagito con un contratto V2 più vecchio di novembre 2023. Questa era una versione che era stata lasciata ma rimaneva richiamabile on-chain. Sui mantiene tutte le versioni di contratto distribuite immutabili e accessibili. È per questo che questo pacchetto obsoleto è diventato una superficie di attacco nascosta.
Prezzo di Sui non ha subito danni dopo l'exploit. È in aumento di quasi il 2% nelle ultime 24 ore. Sui è scambiato a 0,94 dollari al momento della stampa. Il suo volume di scambio di 24 ore si aggira intorno ai 187 milioni di dollari.
Un esperto in un post ha menzionato che il difetto stesso era sottile ma grave. Nel contratto deprecato, una variabile chiave "last_index" non era mai inizializzata quando veniva creato un nuovo account. Ciò ha permesso all'attaccante di rivendicare premi come se avesse fatto staking dall'inizio del pool.
Con l'indice dei premi cresciuto nel tempo, l'attaccante ha passato attraverso per accreditarsi l'intero pool di premi in una singola transazione. Ha menzionato che l'indice Spool è cresciuto a 1,19 miliardi in 20 mesi.
L'attaccante ha fatto staking di 136K sSUI e ha ricevuto un accredito di 162 trilioni di punti. Tuttavia, il pool di premi eseguiva un tasso di cambio 1:1 (numeratore e denominatore entrambi = 1), quindi 162T punti si sono convertiti direttamente in 162K SUI di premi. Il pool aveva solo 150K SUI al suo interno e tutti sono stati drenati.
I dati on-chain mostrano che i fondi rubati sono stati rapidamente instradati attraverso un servizio di mixing, simile a Tornado Cash su Sui. Ciò rende il recupero ancora più difficile.
Scallop di nuovo online dopo l'hack
Il team di Scallop ha risposto sospendendo temporaneamente le operazioni. Ha poi riferito di aver sbloccato i contratti principali e che tutte le operazioni sono riprese. Un post su X ha evidenziato che il problema non era correlato al protocollo principale ed era isolato a un contratto di premi deprecato. Alla fine, i depositi non sono stati colpiti e tutti i fondi sono al sicuro. I prelievi e i depositi ora funzionano normalmente.
🚨 Scallop colpito da exploit flash loan su Sui, perde 142.000 dollari in attacco di manipolazione oracle
DETTAGLI 👇
COSA È ACCADUTO?
> Il 26 aprile 2026, il protocollo di prestito Scallop ha subito un exploit flash loan che mirava a un contratto secondario deprecato relativo al pool di premi sSUI spool
— Sophia Hodlberg (@sophiaHodlberg) aprile 26, 2026
L'attaccante avrebbe contattato il team e offerto di restituire l'80% dei fondi in cambio di un compenso white-hat. L'incidente è ora sotto indagine. Il team controllerà come il difetto è passato attraverso audit precedenti da società come OtterSec e MoveBit.
Cryptopolitan ha riportato che molti dei principali incidenti di aprile 2026 non sono provenuti dalla logica del protocollo principale. Sono emersi da vecchi contratti, adattatori o livelli infrastrutturali che rimangono accessibili ma trascurati. Le perdite cumulative hanno superato i 750 milioni di dollari a metà aprile. Solo aprile 2026 ha rappresentato oltre 600 milioni di dollari in fondi rubati in 12 incidenti principali.
Kelp DAO e Drift Protocol, insieme, hanno rappresentato circa il 95% delle perdite di aprile. L'attacco a Kelp ha causato 177 milioni di dollari di debiti cattivi su Aave. Nel frattempo, il Consiglio di Sicurezza di Arbitrum ha congelato con successo 30.766 ETH (valore approssimativo di 71 milioni di dollari) dei fondi rubati.
Hyperliquid è ancora il token più grande nella categoria DeFi. Il prezzo di HYPE è in aumento del 10% negli ultimi 30 giorni. È scambiato a 41,95 dollari al momento della stampa. Chainlink si trova al secondo posto. LINK è scambiato intorno a 9,4 dollari.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Dichiarazione di responsabilità. Le informazioni fornite non costituiscono consigli di trading. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti effettuati sulla base delle informazioni fornite in questa pagina. Si consiglia vivamente di effettuare ricerche indipendenti e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Ashish Kumar
Ashish Kumar è un giornalista specializzato in criptovalute e finanza con otto anni di esperienza nei redazioni. Si occupa di ciò che accade nei mercati crypto, nella regolamentazione, nel DeFi e negli ecosistemi degli exchange. Ha lavorato con Coingape, Todayq e Newsroompost. Ashish possiede un PGDP in Giornalismo Inglese dall'IIMC. Ha inoltre intervistato figure del settore tra cui Arthur Hayes, Yat Siu, Austin Federa e altri.
