Exploit Scallop DeFi : 150 000 SUI dérobés d'un contrat obsolète
Un protocole DeFi sur le réseau Sui, Scallop, a perdu 150 000 SUI en raison d'un exploit ciblant un contrat de récompenses obsolète. Bien que les opérations principales et les fonds des utilisateurs restent en sécurité, cet incident souligne les risques associés au code hérité dans les environnements blockchain immuables.
Scallop, un marché monétaire opérant sur le réseau Sui, a subi un exploit important au cours du week-end, entraînant la perte d'environ 150 000 SUI. L'attaque a ciblé un contrat de récompenses obsolète lié au spool sSUI du protocole, un mécanisme d'incitation pour les déposants de SUI. De manière cruciale, les pools de prêt et d'emprunt principaux, ainsi que tous les dépôts des utilisateurs, sont restés intacts et sécurisés.
L'exploit a été facilité par une vulnérabilité dans un package de spool V2 déployé en novembre 2023, plus de 17 mois avant l'attaque. Sur Sui, les packages de code déployés sont immuables, ce qui signifie que les anciennes versions peuvent rester appelables à moins d'être explicitement limitées par version. L'attaquant a exploité un compteur last_index non initialisé dans cet ancien package, trompant efficacement le système pour qu'il croie qu'une grande quantité de récompenses avait été accumulée, qui ont ensuite été échangées auprès du pool de récompenses.
Bien que Scallop se soit engagé à rembourser intégralement les fonds dérobés à partir de sa trésorerie et ait repris ses opérations principales, cet incident sert de rappel brutal aux commerçants P2P. De tels exploits, même s'ils sont contenus dans des protocoles DeFi, peuvent contribuer à des changements plus larges du sentiment du marché et potentiellement impacter la stabilité perçue des stablecoins et de leurs écosystèmes sous-jacents. Les commerçants qui dépendent des marges et du volume pourraient voir des fluctuations si la confiance des investisseurs dans des réseaux spécifiques ou des applications DeFi vacille.
Cet exploit fait suite à une tendance récente d'incidents similaires sur le réseau Sui, y compris une perte chez Volo Protocol, et survient peu de temps après un exploit majeur de pont sur Ethereum. La nature récurrente de ces attaques, en particulier celles ciblant le code périphérique ou obsolète, souligne les défis persistants en matière de sécurité des contrats intelligents et l'importance d'une gestion et d'une audit rigoureuses du code pour tous les participants de l'espace crypto, y compris ceux qui facilitent les transactions P2P.