Jaringan Sui baru-baru ini menjadi arena untuk serangan canggih terhadap protokol Scallop. Meskipun jumlah $142.000 (dalam token SUI) mungkin terlihat kecil dalam skala DeFi, sifat kerentanannya adalah pelajaran penting bagi semua pengembang dan investor.
🔍 Apa yang terjadi?
Serangan ini tidak ditujukan pada inti utama protokol, tetapi pada kontrak pendukung yang sudah usang dari sistem imbalan (spool V2), yang diluncurkan pada November 2023.
Aspek teknis:
Masalah utama adalah kesalahan dalam kode - variabel last_index yang tidak diinisialisasi.
Variabel ini bertanggung jawab atas akumulasi bonus.
Karena tidak diatur saat membuat akun baru, penyerang dapat mengecoh sistem.
Protokol 'percaya' bahwa pengguna baru sudah terlibat dalam staking sejak awal, dan mengizinkan penarikan seluruh kumpulan hadiah dalam satu transaksi.
Hal penting: Di jaringan Sui, smart contract tidak bisa diubah setelah dideploy. Jika pengembang tidak membatasi akses ke versi lama secara manual, mereka tetap aktif - versi 'terlupakan' ini menjadi target.
⚡️ Reaksi tim
Scallop bertindak cepat:
Pembekuan: Kontrak yang rentan dihentikan dalam hitungan menit.
Keamanan dana: Pasar pinjaman dan utang utama tidak terdampak. Dana pengguna aman.
Kompensasi: Tim berjanji akan menutupi semua kerugian dari kas mereka sendiri. Hasil pengguna tidak akan berubah.
🔄 Apa selanjutnya?
Saat ini sedang berlangsung negosiasi. Penyerang telah menghubungi dan menawarkan untuk mengembalikan 80% dana dengan imbalan status 'white hat hacker' dan hadiah.
Juga ada pertanyaan terbuka untuk auditor (OtterSec dan MoveBit): bagaimana kesalahan mendasar dengan variabel yang tidak diinisialisasi ini tidak terdeteksi selama pemeriksaan?
Kesimpulan bagi kita: Meskipun protokol utama dapat diandalkan, 'ekor' yang usang dalam DeFi dapat membawa risiko. Scallop menghadapi tantangan dengan baik, menunjukkan kecepatan reaksi yang tinggi.