- Scallop 프로토콜이 플래시론과 오라클 조작 공격이 결합되어 142,000 달러를 손실했습니다.
- 이 악용은 초기화되지 않은 변수를 활용하여 공격자가 과도한 보상을 청구할 수 있게 했습니다.
- 공격자는 보상의 80%를 반환하겠다고 제안했습니다. 이는 잊혀졌거나 레거시 DeFi 코드에서 비롯된 위험이 증가하고 있음을 시사합니다.
Scallop Protocol은 일요일에 플래시론 악용을 당했습니다. 공격자는 약 142,000달러(150,000 SUI)를 탈취한 것으로 보고되었으며, 이는 매우 표적화된 오라클 조작 공격으로 보입니다. 이 공격은 프로토콜의 핵심 계약에는 영향을 미치지 않았지만 더 깊은 설계 결함을 드러냈습니다.
공격자는 Scallop의 sSUI 보상 풀과 연결된 폐기된 사이드 계약을 악용한 것으로 보고되었습니다. 해당 팀은 핵심 프로토콜이 무사하고 모든 사용자 예금이 안전하다고 강조합니다. 그러나 손실은 해당 격리된 부분으로 완전히 제한됩니다.
오래된 코드 또는 오라클 결함?
분석가들은 핵심 문제가 Scallop의 사용자 정의 오라클 가격 피드의 조작이었다고 제안합니다. 이를 통해 공격자는 SUI/USDC 비율을 인위적으로 하락시키고 왜곡된 가격으로 자산을 차입할 수 있었습니다. 그런 다음 플래시론 을 동일한 거래 내에서 상환했습니다. 결국 용의자는 차액을 챙기고 떠났습니다.
이것은 친숙한 DeFi 공격 패턴을 따르지만, 이번 사건의 실행은 unusually 정확하게 이루어졌습니다. 공격자는 활성 코드나 표준 SDK 경로를 대상으로 하지 않았습니다. 그들은 2023년 11월의 오래된 V2 계약과 상호작용했습니다. 이는 방치되었지만 온체인에서 호출 가능한 버전이었습니다. Sui는 배포된 모든 계약 버전을 불변하고 접근 가능하게 유지합니다. 이것이 구식 패키지가 숨겨진 공격 표면이 된 이유입니다.
Sui 가격 은 악용 이후 타격을 입지 않았습니다. 지난 24시간 동안 거의 2% 상승했습니다. Sui는 보도 기준 시점 현재 $0.94에 거래되고 있습니다. 24시간 거래량은 약 1억 8,700만 달러 수준입니다.
한 전문가가 게시글 언급한 바와 같이, 결함 자체는 미묘하지만 심각했습니다. 더 이상 사용되지 않는 계약에서 주요 변수 'last_index'가 새 계정이 생성될 때 초기화되지 않았습니다. 이로 인해 공격자는 풀의 시작부터 스테이킹한 것처럼 보상을 청구할 수 있었습니다.
보상 인덱스가 시간이 지남에 따라 증가함에 따라 공격자는 단 한 번의 트랜잭션으로 전체 보상 풀에 대한 권리를 자신에게 돌려받았습니다. 그는 Spool 인덱스가 20개월 동안 1.19B까지 성장했다고 언급했습니다.
공격자는 136K sSUI를 스테이킹하여 162조 포인트를 크레딧 받았습니다. 그러나 보상 풀은 1:1의 환율(분자와 분모가 모두 1)로 운영되었으므로, 162T 포인트는 직접적으로 162K SUI 상당의 보상으로 전환되었습니다. 풀에는 150K SUI만 있었으며, 그 모든 자금이 유출되었습니다.
온체인 데이터에 따르면 도난당한 자금은 Sui의 Tornado Cash와 유사한 믹싱 서비스를 통해 빠르게 라우팅되었습니다. 이로 인해 자금 회수가 더욱 어려워졌습니다.
해킹 이후 Scallop 재가동
Scallop 팀은 운영을 일시적으로 중단한 후 대응했습니다. 이후 핵심 계약이 해동되었으며 모든 운영이 재개되었다고 밝혔습니다. X(구 트위터) 게시글은 해당 문제가 핵심 프로토콜과 관련이 없으며 폐기된 보상 계약에 국한되어 있음을 강조했습니다. 결국 tser 예치금에는 영향이 없었으며 모든 자금이 안전하게 유지되었습니다. 이제 출금과 예치가 정상적으로 운영되고 있습니다.
🚨 Scallop, Sui에서 플래시론 악용 공격으로 $142,000 손실
상세 내용 👇
무슨 일이 있었나요?
> 2026년 4월 26일, Scallop 대출 프로토콜은 sSUI 스풀 보상 풀과 관련된 폐기된 사이드 계약을 표적으로 한 플래시론 악용 공격을 겪었습니다.
— 소피아 홀드버그 (@sophiaHodlberg) 4월 26, 2026
공격자는 팀에 연락하여 화이트해트 보너스와引き換え에 자금의 80%를 반환하겠다고 제안한 것으로 보고되었습니다. 현재 사건은 조사 중이며, 팀은 OtterSec 및 MoveBit와 같은 기업들의 감사에서 이欠陥이 어떻게 통과되었는지 확인할 예정입니다.
크립토폴리탄 6월 DFS가 기존 안전 장치를 유지하면서 GENIUS ACT와 일치하는 새로운 스테이블코인 규제를 제안했다고 보도했습니다. 여기에는 완전한 준비금 backing과 독립적인 감사 포함됩니다. 2026년 4월의 주요 사건 중 다수는 핵심 프로토콜 로직에서 비롯된 것이 아니었습니다. 이들은 접근 가능하지만 간과되었던 오래된 계약, 어댑터 또는 인프라 레이어에서 발생했습니다. 누적 손실액은 4월 중순까지 7억 5천만 달러를 초과했습니다. 2026년 4월 한 달 동안 12건의 주요 사건을 통해 6억 달러가 넘는 자금이 도난당했습니다.
Kelp DAO와 Drift Protocol이 함께 4월 손실의 약 95%를 차지했습니다. Kelp에 대한 공격은 Aave에 1억 7,700만 달러의 부채를 초래했습니다. 한편, Arbitrum의 보안 이사회는 도난 자금 중 30,766 ETH(약 $71만 달러 상당)를 성공적으로 동결했습니다.
Hyperliquid은 여전히 DeFi 카테고리에서 가장 큰 토큰입니다. HYPE 가격은 지난 30일 동안 10% 상승했으며, 보도 기준 시점에서 $41.95에 거래되고 있습니다. Chainlink는 2위를 차지하고 있으며, LINK는 약 $9.4에 거래되었습니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com 본 페이지에 제공된 정보를 바탕으로 이루어진 투자에 대해 어떠한 책임도 지지 않습니다. 투자 결정을 내리기 전에 반드시 독립적인 조사나 자격을 갖춘 전문가의 상담을 강력히 권장합니다.
아시쉬 쿠마르
아시쉬 쿠마르는 8년의 뉴스룸 경험을 갖춘 암호화폐 및 금융 전문 기자입니다. 그는 암호화폐 시장, 규제, DeFi, 거래소 생태계 동향을 보도합니다. Coingape, Todayq, Newsroompost에서 활동했으며, IIMC에서 영어 저널리즘 석사 과정 (PGDP) 을 수료했습니다. 또한 아서 헤이즈, 야트 시우, 오스틴 페데라 등 업계 주요 인사들을 인터뷰한 바 있습니다.
