Suiネットワークは最近、Scallopプロトコルへの巧妙な攻撃の舞台となりました。$142,000（SUIトークン）の金額はDeFiの規模からすると小さく見えるかもしれませんが、脆弱性そのものが示す教訓は、すべての開発者と投資家にとって重要です。
🔍 何が起きたの？
攻撃は、プロトコルの中核となる核ではなく、2023年11月に展開された古い補助コントラクトである報酬システム（spool V2）を対象としていました。
技術面：
主な問題は、コードのエラー――未初期化の変数 last_index でした。
この変数は、蓄積されたボーナスの計上を担っています。
新しいアカウント作成時にこの変数が設定されていなかったため、攻撃者はシステムを欺くことができました。
プロトコルは「新規ユーザーが最初からステーキングに参加していた」と信じてしまい、1 回のトランザクションで報酬プール全体を引き出すことを許してしまいました。
重要な点：Sui ネットワークでは、スマートコントラクトはデプロイ後に変更できません。開発者が古いバージョンへのアクセスを手動で制限しない場合、それらは有効なまま残ります――この「うっかり残された」バージョンが今回の標的になりました。
⚡️ チームの反応
Scallop の対応は電光石火で：
凍結：脆弱なコントラクトは数分で停止されました。
資金の安全：主要な貸付・借入市場には影響ありませんでした。ユーザーの資金は安全です。
補償：チームは自社の国庫（準備資金）から、すべての損失を補填すると約束しました。ユーザーの収益性は変わりません。
🔄 次は？
現在、交渉が進行中です。攻撃者が連絡を取り、 「ホワイトハッカー」のステータスと引き換えに、資金の 80% を返すことを提案しました。
また、監査担当者（OtterSec と MoveBit）への問いも残っています――なぜこのような根本的な未初期化変数のミスが、検証中に見過ごされたのでしょうか？
私たちへの教訓：メインのプロトコルが信頼できても、DeFi の古い「しっぽ（レガシー）」にはリスクがあり得ます。Scallop は一撃を正面から受け止め、対応の速さの高さを示しました。