Das Sui-Netzwerk wurde kürzlich zur Bühne für einen raffinierten Angriff auf das Scallop-Protokoll. Obwohl der Betrag von 142.000 $ (in SUI-Token) im DeFi-Maßstab gering erscheinen mag, ist die Natur der Schwachstelle eine wichtige Lektion für alle Entwickler und Investoren.
🔍 Was ist passiert?
Der Angriff richtete sich nicht gegen den Hauptkern des Protokolls, sondern gegen den veralteten Hilfskontrakt des Belohnungssystems (spool V2), der bereits im November 2023 implementiert wurde.
Technische Seite:
Das Hauptproblem war ein Fehler im Code – die nicht initialisierte Variable last_index.
Diese Variable ist für die Erfassung der angesammelten Boni verantwortlich.
Da sie bei der Erstellung eines neuen Accounts nicht festgelegt wurde, konnte der Angreifer das System aushebeln.
Das Protokoll "glaubte", dass der neue Nutzer von Anfang an am Staking teilgenommen hat, und erlaubte die Abhebung des gesamten Belohnungspools in einer einzigen Transaktion.
Wichtiger Punkt: In der Sui-Blockchain können Smart Contracts nach der Bereitstellung nicht mehr geändert werden. Wenn die Entwickler den Zugriff auf alte Versionen nicht manuell einschränken, bleiben sie aktiv – genau diese "vergessene" Version wurde zum Ziel.
⚡️ Reaktion des Teams
Scallop hat blitzschnell reagiert:
Einfrieren: Der anfällige Vertrag wurde in wenigen Minuten gestoppt.
Sicherheit der Gelder: Die wichtigsten Kredit- und Leihmärkte wurden nicht beeinträchtigt. Die Gelder der Nutzer sind sicher.
Entschädigung: Das Team hat versprochen, alle Verluste aus der eigenen Kasse zu decken. Die Rendite der Nutzer bleibt unverändert.
🔄 Was kommt als Nächstes?
Derzeit laufen Verhandlungen. Der Angreifer hat Kontakt aufgenommen und angeboten, 80% der Gelder im Austausch gegen den Status eines „weißen Hackers“ und eine Belohnung zurückzugeben.
Es bleibt auch die Frage an die Auditoren (OtterSec und MoveBit): Wie konnte ein so fundamentaler Fehler mit der nicht initialisierten Variable während der Prüfungen übersehen werden?
Schlussfolgerung für uns: Selbst wenn das Hauptprotokoll zuverlässig ist, können veraltete "Reste" im DeFi Risiken bergen. Scallop hat den Schlag würdevoll verkraftet und eine hohe Reaktionsgeschwindigkeit gezeigt.