当前位置：首页 > 资讯 > SUI币被盗事件

Sui链DeFi借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗

2026-04-27 08:58:15 | 来源： | 作者：佚名
Sui链上DeFi借贷协议Scallop于官方X 帐号发布安全事件通知，证实平台遭到攻击,造成约15 万枚SUI 损失,Scallop强调，受影响合约已被冻结，核心合约仍然安全，仅sSUI 奖励池受到波及,下面一起来看看正文介绍
‍

Sui 链上DeFi 借贷协议Scallop 于官方X 帐号（@Scallop_io）发布安全事件通知，证实平台遭到攻击。Scallop 表示，团队发现一个与sSUI spool 奖励池相关的侧合约（side contract）遭到利用，造成约15 万枚SUI 损失。Scallop 强调，受影响合约已被冻结，核心合约仍然安全，仅sSUI 奖励池受到波及。

在后续更新中，Scallop 进一步说明：核心合约已解冻，所有操作已恢复。此问题与核心协议无关，仅限于一个已弃用的奖励合约。使用者存款未受影响，所有资金安全无虞，存提款功能已恢复正常。团队承诺将分享更多细节，并持续监控与强化协议安全。

Sui链DeFi 借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗

前NEAR 核心成员Vadim：问题出在17 个月前的旧版套件

针对此次事件，前NEAR 核心开发者Vadim（@zacodil） 在X 上发表深度技术分析，揭露漏洞细节。 Vadim 指出，攻击者非常清楚该呼叫哪一个已弃用的套件。 「不是当前运行中的程式码，也不是SDK 路径，而是2023 年11 月的一个旧版V2，数月来无人使用。这要嘛是深度逆向工程，要嘛就是有人早就知道该往哪里找。这个漏洞已经潜伏了17 个月。

Vadim 解释，spool 会追踪一个随着奖励分配而增长的index。每个用户帐户在质押时，原本应该记录当下的last_index，这样赚取的点数计算公式为：质押量× (current_index − last_index)，使用者只能从加入时起赚取奖励。

但在已弃用的V2 套件中，当建立全新的spool_account 时，last_index 并未被初始化，仍保持为0。因此当update_points 执行时，计算结果变成：点数= 质押量× (current_index − 0) = 质押量× 完整历史指数。使用者被记入自2023 年8 月spool 建立以来累积的所有奖励。

Vadim 提供具体数据：spool 指数在20 个月间成长到11.9 亿。攻击者质押13.6 万枚sSUI，瞬间获得162 兆点数的记入。由于奖励池采1:1 兑换比例（分子与分母皆为1），162 兆点数直接转换为价值16.2 万枚SUI 的奖励。但奖励池内仅有15 万枚SUI，因此被全数抽干。

4 月链上安全事件皆发生在周边系统

Vadim 说明，正常使用者透过SDK 使用新套件，新套件已修复last_index 同步问题。旧版V2 套件之所以仍留在链上，是因为Sui 套件具有不可变性。 —一旦发布，每个旧版本都将永远可被呼叫。共享的Spool 与RewardsPool 物件接受来自任何版本的呼叫，攻击者绕过SDK，直接命中旧版程式码路径。

Vadim 将此归类为「Sui 过时套件类漏洞」。他指出，正确的修复方式需要在共享物件上加入版本栏位，并在每个函式中加入assert!(version == CURRENT_VERSION) 检查。没有这个机制，每一个过去发布的套件版本都将永远是活生生的攻击面。

Vadim 进一步点出，本月多数攻击事件都不是发生在核心协议程式码，而是周边系统：

  • KelpDAO：RPC 基础设施
  • Litecoin：MWEB 隐私层
  • Aethir：周边转接器的存取控制
  • Scallop：被遗忘的旧版套件

以上就是Sui链DeFi借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗的详细内容，更多关于SUI币被盗事件的资料请关注脚本之家其它相关文章！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：借贷协议   DeFi   Sui链   SUI币   Scallop  

你可能感兴趣的文章

币圈快讯

  • BitMart合约将上线BANK、EPT、INIT

    2025-04-21 17:11
    据官方公告，BitMart合约将于04/2117:00上线BANKUSDT，04/2120:00上线EPTUSDT以及04/2419:00上线INITUSDT永续合约。Lorenzo是一个机构级资产管理平台，发行由多种底层策略支持的收益代币。Balance是面向社交和游戏的下一代AI+Web3协议和框架，无缝集成了AI技术、区块链技术和去中心化应用。Initia是一个Layer-1区块链，通过交织网络将特定应用的区块链连接起来。链接：https://bitmart.zendesk.com/hc/zh-cn/articles/36169141780251

  • QCPCapital：密切关注比特币88,800美元关键阻力位

    2025-04-21 17:11
    ChainCatcher消息，加密投资机构QCPCapital发文称，比特币在亚洲时段早盘突破87,000美元，扭转了因特朗普“解放日”宣布引发的抛售潮，此次反弹与去年12月的“圣诞反弹”形成鲜明对比。同时，黄金也受贸易战和美元走弱提振升至新高。股市收跌、4月跌幅扩大背景下，比特币作为避险或通胀对冲工具的说法再受关注，若趋势持续，或为机构配置比特币提供新动力。 机构信心回归迹象已现，上周比特币ETF净流入1340万美元，与前一周7.08亿美元净流出形成对比。期权市场持仓更均衡，风险逆转指标趋于平稳。比特币和黄金联袂上涨，是假日噪音还是比特币向避险资产转变的实质性标志？若属后者，将标志传统金融对比特币看法重大变化。因欧洲仍在假期，市场或需几日确认趋势，比特币、黄金和股市相关性值得密切关注。目前正密切关注88,800美元关键阻力位，突破前对结论持谨慎态度。

  • QCP：继续关注 BTC 88,800 美元这一关键阻力位

    2025-04-21 17:07
    QCP Capital 在官方频道发文表示，“比特币上演了自己的复活节重生,在亚洲早盘突破87,000美元,这一强劲反弹收复了此前因特朗普前总统4月2日意外发布"解放日"声明而引发的大部分跌幅。比特币作为避险资产或通胀对冲工具的叙事再次获得关注。如果这一动态持续,可能为机构配置比特币提供新的推动力...

  • 美国司法部证实将持续推进对SafeMoon前CEO的欺诈诉讼

    2025-04-21 17:05
    ChainCatcher消息，据law360.com援引美国司法部（DOJ）上周五提交的文件报道，特朗普时代美国司法部曾推动缩减对加密货币的执法力度，但这并未能阻止联邦检察官对SafeMoon前首席执行官BradenKarony的追诉。Karony面临与该代币崩盘相关的欺诈指控。他即将于5月受审，这将成为检验司法部新方针是否会保护高管免受过往所谓不当行为指控的关键试金石。4月18日，纽约东区联邦检察官证实将继续推进诉讼。Karony被控共谋证券欺诈、电汇欺诈和洗钱，拒不认罪，自2月起以300万美元保释。

  • 美国司法部证实将继续推进对SafeMoon前CEO的欺诈诉讼

    2025-04-21 17:04
    4月21日消息，据law360.com援引美国司法部（DOJ）上周五提交的文件报道，特朗普时代美国司法部曾推动缩减对加密货币的执法力度，但这并未能阻止联邦检察官对SafeMoon前首席执行官BradenKarony的追诉。Karony面临与该代币崩盘相关的欺诈指控。他即将于5月受审，这将成为检验司法部新方针是否会保护高管免受过往所谓不当行为指控的关键试金石。4月18日，纽约东区联邦检察官证实将继续推进诉讼。Karony被控共谋证券欺诈、电汇欺诈和洗钱，拒不认罪，自2月起以300万美元保释。此前4月10日消息，SafeMoonCEO以美司法部解散加密货币部门为由再次申请驳回诉讼。
    • 查看更多

最新资讯

更多

区块链百科