Exploit Scallop DeFi Drena 150K SUI de Contrato Obsoleto
Um protocolo DeFi na Sui Network, Scallop, perdeu 150.000 SUI devido a um exploit que visou um contrato de recompensas obsoleto. Embora as operações principais e os fundos dos usuários permaneçam seguros, este incidente destaca os riscos associados a códigos legados em ambientes de blockchain imutáveis.
Scallop, um mercado monetário operando na Sui Network, sofreu um exploit significativo durante o fim de semana, resultando na perda de aproximadamente 150.000 SUI. O ataque visou um contrato de recompensas obsoleto ligado ao spool sSUI do protocolo, um mecanismo de incentivo para depositantes de SUI. Crucialmente, os pools principais de empréstimo e tomada de empréstimo, juntamente com todos os depósitos de usuários, permaneceram inalterados e seguros.
O exploit foi facilitado por uma vulnerabilidade em um pacote de spool V2 implantado em novembro de 2023, mais de 17 meses antes do ataque. Na Sui, pacotes de código implantados são imutáveis, o que significa que versões mais antigas podem permanecer chamáveis, a menos que sejam explicitamente limitadas por versão. O atacante alavancou um contador last_index não inicializado dentro deste pacote antigo, efetivamente enganando o sistema para acreditar que uma grande quantidade de recompensas havia sido acumulada, que foram então resgatadas do pool de recompensas.
Embora Scallop tenha prometido reembolsar integralmente os fundos drenados de seu tesouro e tenha retomado as operações principais, este incidente serve como um lembrete severo para comerciantes P2P. Tais exploits, mesmo que contidos em protocolos DeFi, podem contribuir para mudanças mais amplas no sentimento do mercado e potencialmente impactar a estabilidade percebida de stablecoins e seus ecossistemas subjacentes. Comerciantes que dependem de spreads e volume podem ver flutuações se a confiança do investidor em redes específicas ou aplicativos DeFi vacilar.
Este exploit segue um padrão recente de incidentes semelhantes na Sui Network, incluindo uma perda no Volo Protocol, e ocorre logo após um grande exploit de ponte na Ethereum. A natureza recorrente desses ataques, particularmente aqueles que visam código periférico ou obsoleto, ressalta os desafios contínuos na segurança de contratos inteligentes e a importância do gerenciamento diligente de código e auditoria para todos os participantes do espaço cripto, incluindo aqueles que facilitam negociações P2P.