Scallop Protocol บน Sui โดนโจมตีด้วยแฟลชโลน ระบายออกผ่านการจัดการออราเคิล $142K

ข้อความข่าว Gate ประจำวันที่ 26 เมษายน — Scallop Protocol ซึ่งเป็นแพลตฟอร์มการให้กู้ยืมบนบล็อกเชน Sui ประสบกับการโจมตีด้วยแฟลชโลน โดยมุ่งเป้าไปที่สัญญาด้านข้างที่ถูกเลิกใช้แล้วซึ่งเชื่อมโยงกับพูลรางวัล sSUI ทำให้สูญเสียประมาณ $142,000 (150,000 SUI) การโจมตีใช้ประโยชน์จากการจัดการฟีดราคาของออราเคิลเพื่อกดอัตราแลกเปลี่ยน SUI/USDC ให้ต่ำลงอย่างผิดปกติ และกู้ยืมสินทรัพย์ด้วยราคาที่บิดเบือน โดยผู้โจมตีชำระคืนแฟลชโลนภายในธุรกรรมเดียวกันและเก็บส่วนต่างไว้

ปัญหาหลักมาจากสัญญา V2 ที่ถูกเลิกใช้ซึ่งถูกปรับใช้งานในเดือนพฤศจิกายน 2023 แต่ยังสามารถเรียกใช้งานได้บนเชน ในสัญญาที่ล้าสมัยนี้ ตัวแปรสำคัญที่เรียกว่า "last_index" ไม่เคยถูกเริ่มต้นเมื่อมีการสร้างบัญชีใหม่ ข้อบกพร่องนี้ทำให้ผู้โจมตีอ้างสิทธิ์รางวัลเหมือนกับว่าตนได้ทำการสเตกตั้งแต่เริ่มต้นของพูล เมื่อดัชนีรางวัลเติบโตถึง 1.19 พันล้านในช่วง 20 เดือน ผู้โจมตีสเตก 136,000 sSUI แต่ได้รับเครดิตสำหรับ 162 ล้านล้านพอยต์ เนื่องจากพูลรางวัลทำงานด้วยอัตราแลกเปลี่ยน 1:1 พอยต์เหล่านี้จึงแปลงเป็นรางวัลมูลค่า 162,000 SUI โดยตรง พูลมีเพียง 150,000 SUI และเงินทั้งหมดถูกระบายออก ข้อมูลบนเชนแสดงว่าเงินที่ถูกขโมยถูกส่งต่ออย่างรวดเร็วผ่านบริการผสมสัญญาณ ทำให้การกู้คืนทำได้ยากขึ้น

ทีมของ Scallop ตอบสนองโดยการหยุดการทำงานชั่วคราวก่อนจะปลดล็อกสัญญาหลักและกลับมาดำเนินการทั้งหมด โปรโตคอลยืนยันว่าช่องโหว่อยู่เฉพาะในสัญญารางวัลที่ถูกเลิกใช้ และไม่ได้ส่งผลกระทบต่อโปรโตคอลหลักหรือเงินฝากของผู้ใช้ โดยเงินทั้งหมดยังปลอดภัย ผู้โจมตีได้ติดต่อทีมในเวลาต่อมา โดยเสนอจะคืน 80% ของเงินที่ถูกขโมยเพื่อแลกกับค่าหัวแบบไวท์แฮต และเหตุการณ์นี้กำลังอยู่ระหว่างการสอบสวน ทีมจะทบทวนว่าช่องโหว่นี้เล็ดลอดการตรวจจับระหว่างการตรวจสอบก่อนหน้านี้ของบริษัทต่างๆ รวมถึง OtherSec และ MoveBit อย่างไร

ราคาของ SUI ยังคงมีเสถียรภาพหลังการโจมตี โดยเพิ่มขึ้นประมาณ 2% ในช่วง 24 ชั่วโมงถัดจากเหตุการณ์ และซื้อขายที่ $0.94 โดยมีปริมาณซื้อขายรายวันที่ราว $187 ล้าน เหตุการณ์นี้สะท้อนแนวโน้มที่กว้างขึ้นในเดือนเมษายน 2026 ที่การโจมตีครั้งใหญ่ใน DeFi มุ่งเป้าไปที่สัญญาและชั้นโครงสร้างพื้นฐานที่ถูกเลิกใช้ แทนที่จะเป็นตรรกะของโปรโตคอลหลัก โดยการสูญเสียสะสมเกินกว่า $600 ล้าน ใน 12 เหตุการณ์สำคัญระหว่างเดือนนี้