- Scallop Protocol 在闪电贷与预言机操纵攻击中损失了 14.2 万美元。
- 该漏洞利用了未初始化的变量，使攻击者能够获取超额奖励。
- 攻击者提出返还 80% 作为赏金。这表明被遗忘或遗留的 DeFi 代码正带来日益增长的风险。
Scallop Protocol周日遭遇闪电贷漏洞攻击。据报道，攻击者在一个看似高度针对性的预言机操纵攻击中抽走了约142,000美元（150,000 SUI）。这次攻击没有触及协议的核心合约，但暴露了更深层次的设计缺陷。
据报道，攻击者利用了与Scallop的sSUI奖励池相关的已弃用侧合约。其团队敦促核心协议保持完整，所有用户存款都是安全的。然而，损失完全局限于该隔离部分。
旧代码还是预言机缺陷？
分析师认为，核心问题是操纵Scallop的自定义预言机价格 feed。这允许攻击者人为压低SUI/USDC汇率，并以这些扭曲的价格借入资产。然后它在 闪电贷 内的同一笔交易中偿还了贷款。最终，嫌疑人带着差额离开了。
这遵循了一种熟悉的DeFi攻击模式；然而，此次事件的执行异常精确。攻击者没有针对活跃代码或标准SDK路由。他们与2023年11月的旧版V2合约进行了交互。这是一个已被弃用但在链上仍可调用的版本。Sui保留所有已部署合约版本的不可变性和可访问性。这就是为什么这个过时的软件包成为了一个隐藏的攻击面。
Sui价格 在漏洞发生后并未受到打击。在过去24小时内上涨了近2%。Sui在发稿时交易价格为0.94美元。其24小时交易量徘徊在1.87亿美元左右。
一位专家在 帖子 中提到，该缺陷本身是微妙的，但很严重。在已弃用的合约中，关键变量“last_index”在创建新账户时从未初始化。这允许攻击者声称他们从池子开始时就一直在质押，从而获得奖励。
随着奖励指数随时间增长，攻击者在单笔交易中通过并为自己记入整个奖励池。他提到，Spool指数在20个月内增长到11.9亿。
攻击者质押了136K sSUI，并获得162万亿积分的信用额度。然而，奖励池的兑换率为1:1（分子和分母均为1），因此162万亿积分直接兑换为价值162K SUI的奖励。池中仅有150K SUI，且全部被清空。
链上数据显示，被盗资金迅速通过类似Sui上的Tornado Cash的混币服务进行路由。这使得追回资金变得更加困难。
Scallop在遭受黑客攻击后恢复上线
Scallop团队通过暂时暂停运营作出回应。随后他们报告称，已解冻核心合约，所有运营均已恢复。X（原推特）上的一篇帖子强调，该问题与核心协议无关，仅限于一个已弃用的奖励合约。最终，存款未受影响，所有资金均保持安全。提款和存款功能现已恢复正常。
🚨 Scallop在Sui上遭遇闪电贷漏洞攻击，在预言机操纵攻击中损失14.2万美元
详情 👇
发生了什么？
> 2026年4月26日，Scallop借贷协议遭遇闪电贷漏洞攻击，目标是其sSUI堆叠奖励池相关的已弃用侧合约
— Sophia Hodlberg (@sophiaHodlberg) 4月26日，2026
据报道，攻击者联系了团队，并提出以白帽赏金为交换，归还80%的资金。目前事件正在调查中。团队将审查该漏洞如何通过了OtterSec和MoveBit等公司的先前审计。
Cryptopolitan 在 6 月报道 2026年4月的大部分重大事件并非源于核心协议逻辑。它们源于旧合约、适配器或基础设施层，这些层虽然可访问但被忽视。截至4月中旬，累计损失已超过7.5亿美元。仅在2026年4月，12起重大事件中的被盗资金就超过6亿美元。
Kelp DAO和Drift Protocol合计占4月份损失的约95%。对Kelp的攻击导致Aave产生1.77亿美元的坏账。与此同时，Arbitrum安全委员会成功冻结了30,766 ETH（价值约7100万美元）的被盗资金。
Hyperliquid仍然是DeFi类别中最大的代币。HYPE价格在最近30天内上涨10%。截至发稿时，其交易价格为41.95美元。Chainlink位居第二。LINK交易价格约为9.4美元。
不要只是阅读加密货币新闻，要真正理解它。订阅我们的通讯。 免费。
免责声明。 本文提供的信息不构成交易建议。 Cryptopolitan.com 对于基于本页信息进行的任何投资，我们不承担任何责任。我们强烈建议在进行任何投资决策之前，进行独立研究或咨询合格的专业人士。
Ashish Kumar
Ashish Kumar 是一位拥有八年新闻室经验的加密货币和金融记者。他报道加密货币市场、监管、DeFi 和交易所生态系统的最新动态。他曾与 Coingape、Todayq 和 Newsroompost 合作。Ashish 在 IIMC 获得了英语新闻学研究生文凭。他还采访过包括 Arthur Hayes、Yat Siu、Austin Federa 在内的行业人物。
