Eksploitasi Scallop DeFi Menguras 150.000 SUI dari Kontrak Usang
Protokol DeFi di Sui Network, Scallop, kehilangan 150.000 SUI karena eksploitasi yang menargetkan kontrak hadiah yang sudah usang. Meskipun operasi inti dan dana pengguna tetap aman, insiden ini menyoroti risiko yang terkait dengan kode lama di lingkungan blockchain yang tidak dapat diubah.
Scallop, pasar uang yang beroperasi di Sui Network, mengalami eksploitasi signifikan selama akhir pekan, mengakibatkan hilangnya sekitar 150.000 SUI. Serangan tersebut menargetkan kontrak hadiah usang yang terkait dengan spool sSUI protokol, sebuah mekanisme insentif untuk deposan SUI. Yang terpenting, pool pinjaman dan peminjaman inti, bersama dengan semua simpanan pengguna, tetap tidak terpengaruh dan aman.
Eksploitasi difasilitasi oleh kerentanan dalam paket spool V2 yang diterapkan pada November 2023, lebih dari 17 bulan sebelum serangan. Di Sui, paket kode yang diterapkan tidak dapat diubah, yang berarti versi lama dapat tetap dipanggil kecuali dibatasi secara eksplisit berdasarkan versi. Penyerang memanfaatkan penghitung last_index yang belum diinisialisasi dalam paket lama ini, secara efektif menipu sistem untuk percaya bahwa sejumlah besar hadiah telah terakumulasi, yang kemudian ditebus dari pool hadiah.
Sementara Scallop telah berjanji untuk mengganti sepenuhnya dana yang terkuras dari perbendaharaannya dan telah melanjutkan operasi inti, insiden ini berfungsi sebagai pengingat keras bagi pedagang P2P. Eksploitasi semacam itu, bahkan jika terbatas pada protokol DeFi, dapat berkontribusi pada pergeseran sentimen pasar yang lebih luas dan berpotensi memengaruhi stabilitas yang dirasakan dari stablecoin dan ekosistem pendukungnya. Pedagang yang bergantung pada spread dan volume mungkin melihat fluktuasi jika kepercayaan investor pada jaringan tertentu atau aplikasi DeFi goyah.
Eksploitasi ini mengikuti pola insiden serupa baru-baru ini di Sui Network, termasuk kerugian di Volo Protocol, dan terjadi tak lama setelah eksploitasi jembatan besar di Ethereum. Sifat serangan yang berulang ini, terutama yang menargetkan kode periferal atau usang, menggarisbawahi tantangan yang berkelanjutan dalam keamanan kontrak pintar dan pentingnya manajemen kode yang cermat dan audit untuk semua peserta di ruang kripto, termasuk mereka yang memfasilitasi perdagangan P2P.