Протокол Scallop на базе Sui подвергся атаке с использованием флеш-кредита, потеряно $142K
- Протокол Scallop потерял 142 тыс. долларов в результате атаки с использованием флеш-кредита, совмещённой с манипуляцией оракулом.
- Эксплойт использовал неинициализированную переменную, что позволило злоумышленнику получить завышенные награды.
- Злоумышленник предложил вернуть 80% средств в качестве вознаграждения. Это указывает на растущие риски, связанные с забытым или устаревшим кодом DeFi.
В воскресенье протокол Scallop подвергся эксплойту с использованием флеш-кредита. По сообщениям, злоумышленник вывел около 142 000 долларов (150 000 SUI) в результате, по-видимому, высокоцелевой атаки на манипуляцию оракулом. Эта атака не затронула основные контракты протокола, но выявила более глубокую ошибку в архитектуре.
По сообщениям, злоумышленник воспользовался устаревшим побочным контрактом, связанным с пулом вознаграждений sSUI Scallop. Их команда подчеркивает, что основной протокол остается неповрежденным и все депозиты пользователей в безопасности. Однако потери полностью ограничены этой изолированной частью.
Старый код или ошибка оракула?
Аналитики предполагают, что основная проблема заключалась в манипуляции пользовательскими ценовыми потоками оракула Scallop. Это позволило злоумышленнику искусственно снизить курсы SUI/USDC и занять активы по искаженным ценам. Затем он погасил флеш-кредит в той же транзакции. В итоге подозреваемый ушел с разницей в средствах.
Это следует знакомому шаблону атак в DeFi; однако исполнение в этом случае было необычно точным. Злоумышленник не атаковал активный код или стандартные маршруты SDK. Он взаимодействовал со старым контрактом V2 от ноября 2023 года. Это была версия, которая была оставлена, но оставалась вызываемой в блокчейне. Sui сохраняет все развернутые версии контрактов неизменными и доступными. Именно поэтому этот устаревший пакет стал скрытой поверхностью атаки.
Цена Sui не пострадала после эксплойта. За последние 24 часа она выросла почти на 2%. Sui торгуется по цене $0,94 на момент публикации. Объем торгов за 24 часа колеблется вокруг $187 миллионов.
Эксперт в посту отметил, что сама ошибка была тонкой, но серьезной. В устаревшем контракте ключевая переменная «last_index» никогда не инициализировалась при создании нового аккаунта. Это позволило злоумышленнику претендовать на вознаграждения так, как будто он стейкал с начала работы пула.
Поскольку индекс вознаграждений рос со временем, злоумышленник смог в одной транзакции зачислить себе весь пул вознаграждений. Он упомянул, что индекс Spool вырос до 1,19 млрд за 20 месяцев.
Злоумышленник застейкал 136K sSUI и получил зачисление 162 триллионов очков. Однако пул вознаграждений имел курс обмена 1:1 (числитель и знаменатель оба равны 1), поэтому 162T очков конвертировались напрямую в вознаграждения на сумму 162K SUI. В пуле было всего 150K SUI, и все они были выведены.
Данные блокчейна показывают, что украденные средства были быстро переведены через миксер, аналогичный Tornado Cash на Sui. Это делает их восстановление еще более сложным.
Scallop снова работает после взлома
Команда Scallop ответила временной приостановкой операций. Затем они сообщили, что основные контракты разблокированы и все операции возобновлены. Пост в X подчеркивал, что проблема не была связана с основным протоколом и была изолирована в устаревшем контракте вознаграждений. В итоге депозиты пользователей не пострадали, и все средства в безопасности. Выводы и депозиты теперь работают в обычном режиме.
🚨 Scallop подвергся эксплойту с использованием флеш-кредита на Sui, потеряно $142,000 в результате атаки на манипуляцию оракулом
ДЕТАЛИ 👇
ЧТО ПРОИЗОШЛО?
> 26 апреля 2026 года кредитный протокол Scallop подвергся эксплойту с использованием флеш-кредита, нацеленному на устаревший побочный контракт, связанный с пулом вознаграждений sSUI spool
— София Ходльберг (@sophiaHodlberg) 26 апреля 26, 2026
По сообщениям, злоумышленник связался с командой и предложил вернуть 80% средств в обмен на вознаграждение за «белую шляпу». Инцидент сейчас расследуется. Команда проверит, как ошибка прошла предварительные аудиты от таких фирм, как OtterSec и MoveBit.
Cryptopolitan сообщал что многие крупные инциденты апреля 2026 года не были вызваны логикой основного протокола. Они возникли из-за старых контрактов, адаптеров или слоев инфраструктуры, которые остаются доступными, но игнорируются. Совокупные потери превысили $750 миллионов к середине апреля. Только в апреле 2026 года было похищено более $600 миллионов в результате 12 крупных инцидентов.
Kelp DAO и Drift Protocol вместе составили примерно 95% потерь апреля. Атака на Kelp привела к образованию плохого долга в размере $177 миллионов на Aave. Тем временем Совет по безопасности Arbitrum успешно заморозил 30 766 ETH (примерно на $71 миллионов) украденных средств.
Hyperliquid по-прежнему является крупнейшим токеном в категории DeFi. За последние 30 дней цена HYPE выросла на 10%. На момент публикации она торговалась на уровне $41,95. Chainlink занимает второе место. LINK торговался примерно на уровне $9,4.
Не просто читайте новости о криптовалютах. Понимайте их. Подпишитесь на нашу рассылку. Это бесплатно.
Отказ от ответственности. Предоставленная информация не является торговой рекомендацией. Cryptopolitan.com Мы не несем ответственности за любые инвестиции, сделанные на основе информации, представленной на этой странице. Мы настоятельно рекомендуем проводить независимое исследование и/или проконсультироваться с квалифицированным специалистом перед принятием любых инвестиционных решений.
Ашиш Кумар
Ашиш Кумар — крипто- и финансовый журналист с восьмилетним опытом работы в новостных редакциях. Он освещает события на крипторынках, регулирование, DeFi и экосистемы бирж. Ашиш работал в Coingape, Todayq и Newsroompost. Он получил степень PGDP по английской журналистике в IIMC. Среди его интервью — представители индустрии, такие как Артур Хейс, Ят Сиу, Остин Федера и другие.
