شخص ما سرق 142 ألف دولار من $SUI 's Scallop بدون أي مهارات هاكر.
لا عبقري قروض فلاش.
لا تلاعب بالأوراكل.
لا استغلال للكود.
مجرد... عقد قديم لم يكن أحد يراقبه. 👀
إليكم كيف حدث ذلك 👇
#scallop يعمل على #sui 💧
لديه تجمع مكافآت لمستثمري sSUI.
لقد قاموا بترقية عقودهم منذ زمن بعيد.
لكن الـ V2 القديمة؟
ما زالت موجودة على السلسلة.
ما زالت قابلة للاستدعاء.
منسية — لكنها ليست ميتة.
في #SUI🔥 ، العقود المنشورة غير قابلة للتغيير.
لا يمكنك حذفها.
لا يمكنك إيقاف تشغيلها.
إنها فقط... موجودة إلى الأبد.
المهاجم وجد الـ V2 من نوفمبر 2023 — عمرها 17 شهرًا — واستدعاها مباشرة.
لا واجهة أمامية. لا SDK. استدعاء عقد مباشر.
كانت الثغرة محبطة ببساطة:
كان من المفترض أن تسجل كل حساب استثماري جديد last_index — الطابع الزمني لبدء شخص ما.
في الـ V2 القديمة، لم يتم تهيئتها أبدًا.
لذا افترض العقد أن شخصًا ما كان موجودًا منذ #staking منذ اليوم الأول.
كان مؤشر السحب يعمل لمدة 20 شهرًا.
وصل إلى 1.19 مليار.
المهاجم استثمر 136K sSUI.
حسب العقد 162 تريليون نقطة مكافأة.
كان التجمع يحتوي على 150,000 SUI بمعدل 1:1.
صفقة واحدة. كل شيء ذهب.
Scallop جمدت العقد.
غطت 100% من الخسائر.
استؤنفت العملية في أقل من ساعتين.
لكن ما يطاردني هو:
المهاجم بعد ذلك تواصل وعرض إعادة 80% كمكافأة.
مما يعني أنهم لم يحاولوا حتى الاختباء.
دخلوا من الباب الأمامي لمنزل فارغ لم يتذكره أحد أنه ملك له.
هذه ليست "مشكلة $SUI ."
هذه مشكلة عمارة #defi .
كم عدد العقود القديمة التي تجلس على بروتوكولك المفضل الآن؟🫵
تم تدقيقها مرة واحدة.
تم ترقيتها.
نسيت.
ما زالت حية على السلسلة.
أخطر الاختراقات ليست معقدة.
إنها صبورة.
لا عبقري قروض فلاش.
لا تلاعب بالأوراكل.
لا استغلال للكود.
مجرد... عقد قديم لم يكن أحد يراقبه. 👀
إليكم كيف حدث ذلك 👇
#scallop يعمل على #sui 💧
لديه تجمع مكافآت لمستثمري sSUI.
لقد قاموا بترقية عقودهم منذ زمن بعيد.
لكن الـ V2 القديمة؟
ما زالت موجودة على السلسلة.
ما زالت قابلة للاستدعاء.
منسية — لكنها ليست ميتة.
في #SUI🔥 ، العقود المنشورة غير قابلة للتغيير.
لا يمكنك حذفها.
لا يمكنك إيقاف تشغيلها.
إنها فقط... موجودة إلى الأبد.
المهاجم وجد الـ V2 من نوفمبر 2023 — عمرها 17 شهرًا — واستدعاها مباشرة.
لا واجهة أمامية. لا SDK. استدعاء عقد مباشر.
كانت الثغرة محبطة ببساطة:
كان من المفترض أن تسجل كل حساب استثماري جديد last_index — الطابع الزمني لبدء شخص ما.
في الـ V2 القديمة، لم يتم تهيئتها أبدًا.
لذا افترض العقد أن شخصًا ما كان موجودًا منذ #staking منذ اليوم الأول.
كان مؤشر السحب يعمل لمدة 20 شهرًا.
وصل إلى 1.19 مليار.
المهاجم استثمر 136K sSUI.
حسب العقد 162 تريليون نقطة مكافأة.
كان التجمع يحتوي على 150,000 SUI بمعدل 1:1.
صفقة واحدة. كل شيء ذهب.
Scallop جمدت العقد.
غطت 100% من الخسائر.
استؤنفت العملية في أقل من ساعتين.
لكن ما يطاردني هو:
المهاجم بعد ذلك تواصل وعرض إعادة 80% كمكافأة.
مما يعني أنهم لم يحاولوا حتى الاختباء.
دخلوا من الباب الأمامي لمنزل فارغ لم يتذكره أحد أنه ملك له.
هذه ليست "مشكلة $SUI ."
هذه مشكلة عمارة #defi .
كم عدد العقود القديمة التي تجلس على بروتوكولك المفضل الآن؟🫵
تم تدقيقها مرة واحدة.
تم ترقيتها.
نسيت.
ما زالت حية على السلسلة.
أخطر الاختراقات ليست معقدة.
إنها صبورة.