当前位置：首页 > 资讯 > SUI币被盗事件

Sui链DeFi借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗

2026-04-27 08:58:15 | 来源： | 作者：佚名
Sui链上DeFi借贷协议Scallop于官方X 帐号发布安全事件通知，证实平台遭到攻击,造成约15 万枚SUI 损失,Scallop强调，受影响合约已被冻结，核心合约仍然安全，仅sSUI 奖励池受到波及,下面一起来看看正文介绍
‍

Sui 链上DeFi 借贷协议Scallop 于官方X 帐号（@Scallop_io）发布安全事件通知，证实平台遭到攻击。Scallop 表示，团队发现一个与sSUI spool 奖励池相关的侧合约（side contract）遭到利用，造成约15 万枚SUI 损失。Scallop 强调，受影响合约已被冻结，核心合约仍然安全，仅sSUI 奖励池受到波及。

在后续更新中，Scallop 进一步说明：核心合约已解冻，所有操作已恢复。此问题与核心协议无关，仅限于一个已弃用的奖励合约。使用者存款未受影响，所有资金安全无虞，存提款功能已恢复正常。团队承诺将分享更多细节，并持续监控与强化协议安全。

Sui链DeFi 借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗

前NEAR 核心成员Vadim：问题出在17 个月前的旧版套件

针对此次事件，前NEAR 核心开发者Vadim（@zacodil） 在X 上发表深度技术分析，揭露漏洞细节。 Vadim 指出，攻击者非常清楚该呼叫哪一个已弃用的套件。 「不是当前运行中的程式码，也不是SDK 路径，而是2023 年11 月的一个旧版V2，数月来无人使用。这要嘛是深度逆向工程，要嘛就是有人早就知道该往哪里找。这个漏洞已经潜伏了17 个月。

Vadim 解释，spool 会追踪一个随着奖励分配而增长的index。每个用户帐户在质押时，原本应该记录当下的last_index，这样赚取的点数计算公式为：质押量× (current_index − last_index)，使用者只能从加入时起赚取奖励。

但在已弃用的V2 套件中，当建立全新的spool_account 时，last_index 并未被初始化，仍保持为0。因此当update_points 执行时，计算结果变成：点数= 质押量× (current_index − 0) = 质押量× 完整历史指数。使用者被记入自2023 年8 月spool 建立以来累积的所有奖励。

Vadim 提供具体数据：spool 指数在20 个月间成长到11.9 亿。攻击者质押13.6 万枚sSUI，瞬间获得162 兆点数的记入。由于奖励池采1:1 兑换比例（分子与分母皆为1），162 兆点数直接转换为价值16.2 万枚SUI 的奖励。但奖励池内仅有15 万枚SUI，因此被全数抽干。

4 月链上安全事件皆发生在周边系统

Vadim 说明，正常使用者透过SDK 使用新套件，新套件已修复last_index 同步问题。旧版V2 套件之所以仍留在链上，是因为Sui 套件具有不可变性。 —一旦发布，每个旧版本都将永远可被呼叫。共享的Spool 与RewardsPool 物件接受来自任何版本的呼叫，攻击者绕过SDK，直接命中旧版程式码路径。

Vadim 将此归类为「Sui 过时套件类漏洞」。他指出，正确的修复方式需要在共享物件上加入版本栏位，并在每个函式中加入assert!(version == CURRENT_VERSION) 检查。没有这个机制，每一个过去发布的套件版本都将永远是活生生的攻击面。

Vadim 进一步点出，本月多数攻击事件都不是发生在核心协议程式码，而是周边系统：

  • KelpDAO：RPC 基础设施
  • Litecoin：MWEB 隐私层
  • Aethir：周边转接器的存取控制
  • Scallop：被遗忘的旧版套件

以上就是Sui链DeFi借贷协议Scallop遭骇，旧版合约漏洞致15万SUI被盗的详细内容，更多关于SUI币被盗事件的资料请关注脚本之家其它相关文章！

免责声明：本文只为提供市场讯息，所有内容及观点仅供参考，不构成投资建议，不代表本站观点和立场。投资者应自行决策与交易，对投资者交易形成的直接或间接损失，作者及本站将不承担任何责任。！
Tag：借贷协议   DeFi   Sui链   SUI币   Scallop  

你可能感兴趣的文章

币圈快讯

  • StriveCEO：Binance被盗后比特币表现好于预期但尚不能确认市场见底

    2026-11-01 01:04
    10月31日，StriveCEOMattCole表示，Binance约63亿美元被盗事件并未改变其对比特币的长期投资判断。考虑到攻击规模及整体市场疲弱，比特币的跌幅小于他的预期，但现阶段判断价格是否已经见底仍为时过早。目前比特币价格约为77,400美元，较周四攻击开始前下跌约4%。Strive此前披露，截至10月23日持有43,000枚BTC。Cole将此次钱包攻击比作银行遭抢劫，而非比特币网络失效。Wirex金融犯罪主管PaulChapman也强调，此次攻击针对的是一家公司的系统，而不是比特币网络本身。对于后续走势，Cole认为市场正处于「早春」式复苏阶段，这一阶段可能再持续6至9个月，价格将逐步上涨，而非迅速冲击新高。他表示，在任何合理的时间跨度内，此次事件都不会改变其对比特币的投资逻辑。历史市场反应方面，2025年Bybit遭15亿美元攻击后，叠加整体市场波动，比特币曾由接近100,000美元回落至约95,000美元，跌幅约5%。另据CNBC援引AnchorageDigital数据，过去加密交易平台遭攻击后，比特币在首24小时内的平均跌幅为8.3%。攻击调查仍在进行。BlockaidCEOIdoBen-Natan认为，攻击者可能利用了Binance交易签名流程，其分析发现一笔包含50份签名授权的以太坊交易，匹配的授权允许攻击者控制的代码通过钱包执行。Binance则表示，截至周五尚未发现钱包私钥泄露的证据。

  • 鲁比奥：特朗普尚未决定是否恢复对伊朗的打击

    2026-11-01 00:58
    11月1日，美国国务卿鲁比奥周六在一场新闻发布会上表示，美国总统特朗普尚未决定是否恢复对伊朗的军事行动。鲁比奥说，他不清楚由卡塔尔主导、旨在解决美伊敌对状态的谈判是否设有具体时间表。路透社周六早些时候报道称，伊朗官员正在多哈与卡塔尔调解方举行会谈。(金十)

  • 消息人士：欧佩克已原则性达成协议12月维持产量目标不变

    2026-11-01 00:36
    11月1日，消息人士称，欧佩克已原则性达成协议，12月维持产量目标不变。(金十)

  • Meta联合中国初创企业打造人形机器人原型加码机器人业务布局

    2026-11-01 00:13
    11月1日，据知情人士透露，Meta正加紧研发面向家庭场景的机器人，已经和中国机器人企业傅利叶智能合作开发了一款人形机器人原型，并且已经着手研发第二代产品。Meta与傅利叶智能仅用三个月时间就造出了这款重约106磅的人形机器人，内部代号Max。该项目旨在帮助Meta旗下机器人部门打磨未来更成熟的产品，最终有望对外推出，目前尚未设定上市时间。Meta将人形机器人视作其Muse智能体的实体载体，可执行各类居家任务。（新浪财经）

  • 币安SAFU钱包半小时前转出7500枚BTC或为补足资金储备证明所需资产

    2026-10-31 23:42
    10月31日，据链上分析师@ali_charts监测，币安SAFU钱包半小时前转出7500枚BTC（5.8亿美元），或为补足资金储备证明所需资产，目前该地址仍剩余半数BTC，即7500枚。随后何一表示目前BTC、ETH、USDT、BNB、SOL、USDC、XRP、USD1、RLUSD和ZEC的资金储备已回到100%水平。
    • 查看更多

最新资讯

更多

区块链百科