A rede Sui recentemente se tornou o palco de um ataque habilidoso ao protocolo Scallop. Embora a quantia de $142.000 (em tokens SUI) possa parecer pequena no universo do DeFi, a própria natureza da vulnerabilidade é uma lição importante para todos os desenvolvedores e investidores.
🔍 O que aconteceu?
A ataque foi direcionado não ao núcleo principal do protocolo, mas a um contrato auxiliar obsoleto do sistema de recompensas (spool V2), lançado ainda em novembro de 2023.
Lado técnico:
O principal problema foi um erro no código — uma variável não inicializada chamada last_index.
Essa variável é responsável por contabilizar os bônus acumulados.
Como ela não foi definida ao criar uma nova conta, o invasor conseguiu enganar o sistema.
O protocolo “acreditou” que o novo usuário participava do staking desde o início e permitiu retirar todo o pool de recompensas em uma única transação.
Um detalhe importante: na rede Sui, após o deploy, os smart contracts não podem ser alterados. Se os desenvolvedores não limitarem manualmente o acesso a versões antigas, elas permanecem ativas — e foi exatamente essa versão “esquecida” que virou alvo.
⚡️ Reação da equipe
A Scallop agiu com rapidez:
Congelamento: o contrato vulnerável foi interrompido em poucos minutos.
Segurança dos fundos: os principais mercados de crédito e empréstimos não foram afetados. Os fundos dos usuários estão seguros.
Compensação: a equipe prometeu cobrir todas as perdas com seu próprio tesouro. A rentabilidade dos usuários não vai mudar.
🔄 E agora?
Neste momento, as negociações continuam. O invasor entrou em contato e propôs devolver 80% dos fundos em troca do status de “white hacker” e de uma recompensa.
Também continua a questão para os auditores (OtterSec e MoveBit): como esse erro tão fundamental com uma variável não inicializada não foi notado durante as verificações?
Lição para nós: mesmo que o protocolo principal seja confiável, os “rabos” desatualizados no DeFi podem carregar riscos. A Scallop aguentou o golpe com dignidade, mostrando uma alta velocidade de resposta.