Scallop baseado em Sui sofre ataque de empréstimo relâmpago, perde $142K
- O Protocolo Scallop perdeu $142K em um ataque de empréstimo relâmpago combinado com manipulação de oráculo.
- A exploração abusou de uma variável não inicializada, permitindo que o atacante reivindicasse recompensas desproporcionais.
- O atacante ofereceu devolver 80% como recompensa. Isso aponta para riscos crescentes provenientes de código DeFi esquecido ou legado.
O Protocolo Scallop foi alvo de uma exploração por empréstimo relâmpago no domingo. O atacante supostamente drenou cerca de $142.000 (150.000 SUI) em o que parece ser um ataque altamente direcionado de manipulação de oráculo. Este não afetou os contratos principais do protocolo, mas expôs uma falha de design mais profunda.
Supostamente, um atacante explorou um contrato lateral descontinuado vinculado ao pool de recompensas sSUI do Scallop. Sua equipe insta que o protocolo principal permaneça intacto e que todos os depósitos dos usuários estejam seguros. No entanto, a perda está totalmente contida nessa parte isolada.
Código antigo ou falha no Oráculo?
Analistas sugerem que o problema central foi a manipulação dos feeds de preço personalizados do oráculo do Scallop. Isso permitiu que o atacante deprimisse artificialmente as taxas SUI/USDC e pegasse empréstimos de ativos a esses preços distorcidos. Em seguida, ele reembolsou o empréstimo relâmpago dentro da mesma transação. No final, o suspeito saiu com a diferença.
Isso segue um padrão familiar de ataque DeFi; no entanto, a execução neste evento foi incomumente precisa. O atacante não mirou código ativo ou rotas padrão de SDK. Ele interagiu com um contrato V2 mais antigo de novembro de 2023. Esta era uma versão que havia sido deixada de lado, mas permanecia acionável na cadeia. A Sui mantém todas as versões de contratos implantados imutáveis e acessíveis. É por isso que este pacote desatualizado se tornou uma superfície de ataque oculta.
Preço da Sui não sofreu impacto após a exploração. Ela subiu quase 2% nas últimas 24 horas. A Sui está sendo negociada a $0,94 no momento da redação desta matéria. Seu volume de negociação de 24 horas gira em torno de $187 milhões.
Um especialista em post mencionou que a falha em si era sutil, mas grave. No contrato descontinuado, uma variável-chave "last_index" nunca foi inicializada quando uma nova conta era criada. Isso permitiu que o atacante reivindicasse recompensas como se estivesse fazendo staking desde o início do pool.
Com o índice de recompensas tendo crescido ao longo do tempo, o atacante passou a se creditar com todo o pool de recompensas em uma única transação. Ele mencionou que o índice do Spool cresceu para 1,19B ao longo de 20 meses.
O atacante fez staking de 136K sSUI e recebeu crédito por 162 trilhões de pontos. No entanto, o pool de recompensas operava com uma taxa de câmbio 1:1 (numerador e denominador ambos iguais a 1), então 162T pontos foram convertidos diretamente em 162K SUI em valor de recompensas. O pool tinha apenas 150K SUI e todos eles foram drenados.
Os dados on-chain mostram que os fundos roubados foram rapidamente roteados por um serviço de mistura, semelhante ao Tornado Cash na Sui. Isso torna a recuperação ainda mais difícil.
Scallop volta online após hack
A equipe do Scallop respondeu pausando temporariamente as operações. Em seguida, relataram que descongelaram os contratos principais e todas as operações foram retomadas. Uma publicação no X destacou que o problema não estava relacionado ao protocolo principal e estava isolado a um contrato de recompensas descontinuado. No final, os depósitos dos usuários não foram afetados e todos os fundos permanecem seguros. Os saques e depósitos agora estão operando normalmente.
🚨 Scallop sofre ataque de empréstimo relâmpago na Sui, perde $142.000 em ataque de manipulação de oráculo
DETALHES 👇
O QUE ACONTECEU?
> Em 26 de abril de 2026, o protocolo de empréstimo Scallop sofreu uma exploração por empréstimo relâmpago que visava um contrato lateral descontinuado relacionado ao seu pool de recompensas sSUI
— Sophia Hodlberg (@sophiaHodlberg) abril 26, 2026
Supostamente, o atacante entrou em contato com a equipe e ofereceu devolver 80% dos fundos em troca de uma recompensa por trabalho de boa-fé (white-hat). O incidente está sendo investigado. A equipe verificará como a falha passou pelas auditorias anteriores realizadas por empresas como OtterSec e MoveBit.
Cryptopolitan reportou que muitos dos principais incidentes de abril de 2026 não vieram da lógica do protocolo principal. Eles emergiram de contratos antigos, adaptadores ou camadas de infraestrutura que permanecem acessíveis, mas negligenciadas. As perdas cumulativas excederam $750 milhões até meados de abril. Apenas abril de 2026 respondeu por mais de $600 milhões em fundos roubados em 12 incidentes principais.
Kelp DAO e Drift Protocol, juntos, representaram aproximadamente 95% das perdas de abril. O ataque à Kelp resultou em $177 milhões em má dívida na Aave. Enquanto isso, o Conselho de Segurança do Arbitrum congelou com sucesso 30.766 ETH (valor aproximado de $71 milhões) dos fundos roubados.
A Hyperliquid ainda é o maior token na categoria DeFi. O preço do HYPE subiu 10% nas últimas 30 dias. Está sendo negociado a $41,95 no momento da redação desta matéria. O Chainlink ocupa a segunda posição. O LINK foi negociado em torno de $9,4.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Ashish Kumar
Ashish Kumar é jornalista de cripto e finanças com oito anos de experiência em redações. Ele cobre o que acontece com os mercados de cripto, regulação, DeFi e ecossistemas de exchanges. Trabalhou na Coingape, Todayq e Newsroompost. Ashish possui pós-graduação em Jornalismo Inglês pelo IIMC. Também entrevistou figuras do setor, incluindo Arthur Hayes, Yat Siu, Austin Federa e outros.
