- Scallop Protocol は、フラッシュローンとオラクル操作攻撃が組み合わされた事件により 142,000 ドルを失いました。
- この悪用は未初期化の変数を悪用し、攻撃者に過大な報酬の取得を許しました。
- 攻撃者は報奨金の一部として 80% の返還を提案しました。これは、忘れ去られたかレガシーな DeFi コードに起因するリスクの高まりを示唆しています。
Scallop Protocolは日曜日、フラッシュローンの脆弱性攻撃を受けました。攻撃者は、高度に標的を絞ったオラクル操作攻撃とみられるものにより、約14万2000ドル（15万SUI）を強奪したと報告されています。これはプロトコルのコア契約には影響しませんでしたが、より深い設計上の欠陥を露呈させました。
攻撃者は、ScallopのsSUI報酬プールに関連する非推奨のサイド契約を悪用したと報告されています。そのチームは、コアプロトコルが健全であり、すべてのユーザー預金が安全であることを強調しています。ただし、損失は完全にその隔離された部分に限定されています。
古いコードか、オラクルの欠陥か？
アナリストたちは、核心的な問題はScallopのカスタムオラクル価格フィードの操作にあったと示唆しています。これにより、攻撃者はSUI/USDCのレートを人為的に下落させ、歪んだ価格で資産を借り入れることができました。その後、 フラッシュローン を同じトランザクション内で返済しました。最終的に、容疑者は差額を持ち去りました。
これはよく知られたDeFi攻撃パターンに従っていますが、今回の実行は非常に精密でした。攻撃者はアクティブなコードや標準的なSDKルートをターゲットにしませんでした。彼らは2023年11月の古いV2契約と相互作用しました。これは、チェーン上で呼び出し可能でありながら放置されていたバージョンでした。Suiはデプロイされたすべての契約バージョンを不変かつアクセス可能に保ちます。そのため、この古いパッケージが隠れた攻撃面となりました。
Suiの価格 は、脆弱性攻撃後も影響を受けていません。過去24時間でほぼ2%上昇しています。Suiは報道時点において0.94ドルで取引されています。24時間の取引高は約1億8700万ドルで推移しています。
ある専門家は、 投稿 この欠陥自体は微妙だが深刻であると指摘しました。非推奨の契約では、新しいアカウントが作成された際に主要な変数「last_index」が初期化されていませんでした。これにより、攻撃者は、プール設立当初からステーキングしていたかのように報酬を請求することができました。
報酬インデックスは時間とともに成長していたため、攻撃者は単一のトランザクションで自分自身に報酬プール全体をクレジットするに至りました。彼は、Spoolインデックスが20ヶ月で11億9000万に成長したと述べました。
攻撃者は13万6000 sSUIをステーキングし、162兆ポイントのクレジットを受け取りました。しかし、報酬プールは1:1の交換レート（分子と分母がともに1）で運営されていたため、162Tポイントは直接16万2000 SUI相当の報酬に変換されました。プールには15万SUIしかなく、すべてが尽きました。
オンチェーンデータによると、盗まれた資金はTornado Cashに似たSui上のミキシングサービスを通じて迅速にルーティングされました。これにより、回復はさらに困難になります。
ハッキング後、Scallopがオンライン復帰
Scallopのチームは、一時的に運用を停止することで対応しました。その後、コア契約の凍結を解除し、すべての運用が再開されたと報告しました。X（旧Twitter）への投稿では、この問題はコアプロトコルに関連するものではなく、非推奨の報酬契約に限定されていたことが強調されました。最終的に、tser預金は影響を受けず、すべての資金は安全です。出金と入金は現在正常に稼働しています。
🚨 ScallopがSui上でフラッシュローン脆弱性攻撃を受け、オラクル操作攻撃により14万2000ドルを損失
詳細 👇
何が起こったのか？
> 2026年4月26日、Scallop lendingプロトコルは、sSUI spool報酬プールに関連する非推奨のサイド契約を対象としたフラッシュローン脆弱性攻撃を受けました
— ソフィア・ホドルバーグ (@sophiaHodlberg) 4月 26, 2026
攻撃者はチームに連絡し、資金の80%を返還する代わりにホワイトハットの報奨金を受け取ることを提案したと報告されています。この事件は現在調査中であり、チームはOtterSecやMoveBitなどの企業による以前の監査を通過した方法について確認する予定です。
Cryptopolitan 報告しました。これには完全な準備預金と独立監査が含まれます。 2026年4月の主要なインシデントの多くは、コアプロトコルのロジック由来ではないことが示されています。それらは、アクセス可能ではあるが見落とされている古い契約、アダプター、またはインフラストラクチャレイヤーから発生しました。累積的な損失は4月中旬までに7億5000万ドルを超えました。2026年4月 alone は、12件の主要なインシデントにわたって6億ドル以上の盗難資金を占めています。
Kelp DAOとDrift Protocolを合わせると、4月の損失の約95%を占めています。Kelpに対する攻撃により、Aaveには1億7,700万ドルの不良債務が発生しました。一方、Arbitrumのセキュリティ評議会は、盗まれた資金のうち30,766 ETH（約7,100万ドル相当）を正常に凍結することに成功しました。
Hyperliquidは依然としてDeFiカテゴリーで最大のトークンです。HYPEの価格は過去30日間で10%上昇し、報道時点では41.95ドルで取引されています。Chainlinkは2位に位置し、LINKは約9.4ドルで取引されています。
暗号通貨のニュースを読むだけでなく、それを理解しましょう。ニュースレターに登録してください。無料です。
免責事項。 ここに提供される情報は取引助言ではありません。 Cryptopolitan.com 当社は、このページに提供される情報に基づいて行われたいかなる投資に対しても責任を負いません。いかなる投資判断を下す前に、独立した調査および/または資格を有する専門家への相談を強く推奨します。
アシシュ・クマール
アシシュ・クマール氏は、8年間のニュースルーム経験を持つ暗号資産および金融ジャーナリストです。暗号資産市場、規制、DeFi、取引所エコシステムに関する最新動向を取材・執筆しています。Coingape、Todayq、Newsroompostなどで活動実績があります。IIMC（インド・マスコミュニケーション研究所）で英語ジャーナリズムのPGDPを取得しており、アーサー・ヘイズ氏、ヤット・シウ氏、オースティン・フェデラ氏など業界の主要人物へのインタビューも多数行っています。
