Exploit en Scallop DeFi Drena 150K SUI de Contrato Obsoleto
Un protocolo DeFi en Sui Network, Scallop, perdió 150.000 SUI debido a un exploit dirigido a un contrato de recompensas obsoleto. Si bien las operaciones principales y los fondos de los usuarios permanecen seguros, este incidente resalta los riesgos asociados con el código heredado en entornos de blockchain inmutables.
Scallop, un mercado monetario que opera en Sui Network, experimentó un exploit significativo durante el fin de semana, lo que resultó en la pérdida de aproximadamente 150.000 SUI. El ataque se dirigió a un contrato de recompensas obsoleto vinculado al spool sSUI del protocolo, un mecanismo de incentivo para los depositantes de SUI. Crucialmente, los pools principales de préstamos y empréstitos, junto con todos los depósitos de los usuarios, permanecieron intactos y seguros.
El exploit fue facilitado por una vulnerabilidad en un paquete de spool V2 desplegado en noviembre de 2023, más de 17 meses antes del ataque. En Sui, los paquetes de código desplegados son inmutables, lo que significa que las versiones antiguas pueden seguir siendo invocables a menos que se restrinjan explícitamente por versión. El atacante aprovechó un contador last_index no inicializado dentro de este antiguo paquete, engañando efectivamente al sistema para que creyera que se habían acumulado grandes cantidades de recompensas, que luego fueron canjeadas del pool de recompensas.
Si bien Scallop se ha comprometido a reembolsar completamente los fondos drenados de su tesorería y ha reanudado las operaciones principales, este incidente sirve como un crudo recordatorio para los comerciantes P2P. Dichos exploits, incluso si están contenidos dentro de protocolos DeFi, pueden contribuir a cambios más amplios en el sentimiento del mercado y potencialmente impactar la estabilidad percibida de las stablecoins y sus ecosistemas subyacentes. Los comerciantes que dependen de los diferenciales y el volumen podrían ver fluctuaciones si la confianza de los inversores en redes específicas o aplicaciones DeFi flaquea.
Este exploit sigue un patrón reciente de incidentes similares en Sui Network, incluida una pérdida en Volo Protocol, y ocurre poco después de un importante exploit de puente en Ethereum. La naturaleza recurrente de estos ataques, particularmente aquellos dirigidos a código periférico u obsoleto, subraya los desafíos continuos en la seguridad de los contratos inteligentes y la importancia de la gestión diligente del código y la auditoría para todos los participantes en el espacio cripto, incluidos aquellos que facilitan operaciones P2P.