Sui 链上 DeFi 借贷协议 Scallop 在官方 X 账号（@Scallop_io）发布安全事件通知，证实平台遭到攻击。Scallop 表示，团队发现一个与 sSUI 奖励池相关的侧合约（side contract）遭到利用，造成约 15 万枚 SUI 损失。Scallop 强调，受影响合约已被冻结，核心合约仍然安全，仅 sSUI 奖励池受到波及。
在后续更新中，Scallop 进一步说明：“核心合约已解冻，所有操作已恢复。此问题与核心协议无关，仅限于一个已弃用的奖励合约。使用者存款未受影响，所有资金安全无虞，存提款功能已恢复正常。”团队承诺将分享更多细节，并持续监控与强化协议安全。
前 NEAR 核心成员 Vadim：问题出在 17 个月前的旧版套件
针对此次事件，前 NEAR 核心开发者 Vadim（@zacodil）在 X 上发表深度技术分析，揭露漏洞细节。Vadim 指出，攻击者非常清楚该调用哪一个已弃用的套件。“不是当前运行中的代码，也不是 SDK 路径，而是 2023 年 11 月的一个旧版 V2，数月来无人使用。要么这是深度逆向工程，要么就是有人早就知道该往哪里找。这个漏洞已经潜伏了 17 个月。
Vadim 解释，spool 会追踪一个随着奖励分配而增长的 index。每个用户账户在质押时，原本应该记录当下的 last_index，这样赚取的点数计算公式为：质押量 × (current_index − last_index)，使用者只能从加入时起赚取奖励。
但在已弃用的 V2 套件中，当建立全新的 spool_account 时，last_index 并未被初始化，仍保持为 0。因此当 update_points 执行时，计算结果变成：点数 = 质押量 × (current_index − 0) = 质押量 × 完整历史指数。使用者被记入自 2023 年 8 月 spool 建立以来累积的所有奖励。
Vadim 提供具体数据：spool 指数在 20 个月间成长到 11.9 亿。攻击者质押 13.6 万枚 sSUI，瞬间获得 162 兆点数的记入。由于奖励池采用 1:1 兑换比例（分子与分母皆为 1），162 兆点数直接转换为价值 16.2 万枚 SUI 的奖励。但奖励池内仅有 15 万枚 SUI，因此被全数抽干。
4 月链上安全事件皆发生在周边系统
Vadim 说明，正常使用者通过 SDK 使用新套件，新套件已修复 last_index 同步问题。旧版 V2 套件之所以仍留在链上，是因为 Sui 套件具有不可变性。—一旦发布，每个旧版本都将永远可被调用。共享的 Spool 与 RewardsPool 物件接受来自任何版本的调用，攻击者绕过 SDK，直接命中旧版程式码路径。
Vadim 将此归类为“Sui 过时套件类漏洞”。他指出，正确的修复方式需要在共享物件上加入版本字段，并在每个函数中加入 assert!(version == CURRENT_VERSION) 检查。没有这个机制，每一个过去发布的套件版本都将永远是活生生的攻击面。
Vadim 进一步指出，本月多数攻击事件都不是发生在核心协议程式码，而是周边系统：
KelpDAO：RPC 基础设施
Litecoin：MWEB 隐私层
Aethir：周边转接器的存取控制
Scallop：被遗忘的旧版套件
这篇文章 Sui 链 DeFi 借贷协议 Scallop 遭骇，旧版合约漏洞致 15 万 SUI 被盗 最早出现于 链新闻 ABMedia。
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Quỹ Solana Hỗ trợ Aave thông qua Đóng góp USDT
Quỹ Solana Foundation đã công bố rằng họ sẽ đóng góp USDT cho nền tảng Aave lần đầu tiên, như một phần của các nỗ lực phục hồi sau cuộc khủng hoảng rsETH liên quan đến KelpDAO trong hệ sinh thái DeFi. Lily Liu, Chủ tịch của Solana Foundation, cho biết rằng sự hỗ trợ này nhằm củng cố cả Aave và
CryptoFrontier1giờ trước
Pavel Durov nói phí TON sẽ giảm 6 lần, nhắm tới chi phí gần bằng 0
TON giảm phí giao dịch sáu lần xuống gần như bằng 0, chuyển sang định giá cố định không phụ thuộc vào tình trạng tắc nghẽn mạng.
Nâng cấp giúp tăng tốc độ và độ hoàn tất, cho phép các giao dịch nhanh hơn, rẻ hơn so với Ethereum, Bitcoin và Solana.
Chi phí thấp hơn hỗ trợ vi giao dịch (microtransactions) và các ứng dụng,
CryptoFrontNews2giờ trước
JPMorgan: Token hóa sẽ biến đổi ngành quỹ, nhưng 'các trường hợp sử dụng phù hợp' sẽ còn nhiều năm nữa
Theo một bài đăng từ thứ Sáu, Ciarán Fitzpatrick, giám đốc toàn cầu về sản phẩm ETF và dịch vụ chứng khoán của JPMorgan, cho biết token hóa sẽ thúc đẩy sự thay đổi trên toàn bộ ngành quỹ. Fitzpatrick nhận xét rằng trong khi việc thử nghiệm token hóa các ETF vẫn đang diễn ra, ngân hàng ước tính rằng nó sẽ là “a
CryptoFrontier4giờ trước
Aave, Kelp, LayerZero Đề Xuất Giải Phóng $71M Trong ETH Bị Đóng Băng Để Hỗ Trợ Phục Hồi rsETH
Tin tức Gate, 26 tháng 4 — Một liên minh các giao thức DeFi lớn do Aave Labs dẫn đầu, với sự tham gia của Kelp DAO, LayerZero, EtherFi và Compound, đã đệ trình một Constitutional AIP vào sáng thứ Bảy, đề nghị Arbitrum DAO giải phóng khoảng $71 triệu ETH bị đóng băng để hỗ trợ DeFi United, một nỗ lực cứu trợ liên-giao thức
GateNews6giờ trước
Scallop Phát Hiện Lỗ Hổng Quỹ Phần Thưởng sSUI, Bị Lỗ 150K SUI Nhưng Cam Kết Bồi Thường Đầy Đủ
Tin tức Gate News, 26 tháng 4 — Scallop, một giao thức cho vay trong hệ sinh thái Sui, đã công bố việc phát hiện một lỗ hổng trong một hợp đồng phụ liên quan đến quỹ phần thưởng sSUI của mình, dẫn đến thiệt hại xấp xỉ 150.000 SUI. Hợp đồng bị ảnh hưởng đã bị đóng băng, và Scallop xác nhận
GateNews7giờ trước
DAPP Cụm Thiết Bị BHT Ra Mắt Toàn Cầu, Lớp Ứng Dụng Hệ Sinh Thái MOVA Tiến Bước
Tin tức Gate, ngày 26 tháng 4 — BHT (Balance Hub Terminal) thông báo hôm nay rằng DAPP cụm thiết bị của mình đã chính thức ra mắt trên toàn cầu, với hoạt động bắt đầu lúc 12:00 UTC / 08:00 ET vào ngày 26 tháng 4 năm 2026.
Là một lớp ứng dụng cốt lõi trong hệ sinh thái MOVA Chain, BHT tập trung vào các cụm thiết bị và tích hợp công nghệ do AI dẫn dắt với nhiều mô hình doanh thu khác nhau để kết nối trò chơi Web2 và nền kinh tế số Web3, cung cấp cho người dùng các dịch vụ kỹ thuật số tự động 24/7.
GateNews8giờ trước
