Scallop Protocol na Sui Sofre Ataque de Flash Loan, $142K Esvaziado via Manipulação de Oráculo

Mensagem do Gate News, 26 de abril — O Scallop Protocol, uma plataforma de empréstimos na blockchain Sui, sofreu um exploit de flash loan mirando um contrato lateral descontinuado vinculado ao seu pool de recompensas de sSUI, resultando em uma perda de aproximadamente $142,000 (150,000 SUI). O ataque explorou a manipulação do feed de preços do oráculo para depreciar artificialmente as taxas de câmbio SUI/USDC e tomar ativos emprestados a preços distorcidos, com o atacante devolvendo o flash loan na mesma transação e ficando com a diferença.

O problema central decorreu de um contrato V2 descontinuado implantado em novembro de 2023 que permaneceu chamável na cadeia. Nesse contrato desatualizado, uma variável crítica chamada “last_index” nunca foi inicializada quando novas contas foram criadas. Essa falha permitiu que o atacante reivindicasse recompensas como se tivesse feito staking desde o início do pool. Como o índice de recompensas cresceu para 1,19 bilhão ao longo de 20 meses, o atacante fez staking de 136.000 sSUI, mas recebeu crédito por 162 trilhões de pontos. Como o pool de recompensas operava com uma taxa de câmbio de 1:1, esses pontos foram convertidos diretamente em 162.000 SUI em recompensas. O pool continha apenas 150.000 SUI e todos os fundos foram drenados. Os dados on-chain mostram que os fundos roubados foram rapidamente roteados por um serviço de mixing, complicando os esforços de recuperação.

A equipe do Scallop respondeu pausando temporariamente as operações antes de descongelar os contratos principais e retomar todas as atividades. O protocolo confirmou que o exploit foi isolado ao contrato de recompensas descontinuado e não afetou o protocolo principal nem os depósitos dos usuários, com todos os fundos permanecendo seguros. O atacante, em seguida, entrou em contato com a equipe oferecendo devolver 80% dos fundos roubados em troca de uma recompensa do tipo white-hat, e o incidente agora está sob investigação. A equipe vai revisar como a falha escapou da detecção durante auditorias anteriores feitas por empresas incluindo OtherSec e MoveBit.

O preço do SUI permaneceu resiliente após o exploit, subindo aproximadamente 2% nas 24 horas após o ataque e negociando a US$ 0,94, com um volume diário de negociação de cerca de $187 milhões. O incidente reflete uma tendência mais ampla em abril de 2026, em que grandes exploits de DeFi têm mirado contratos descontinuados e camadas de infraestrutura em vez da lógica do protocolo central, com perdas cumulativas acima de $600 milhões em 12 incidentes importantes durante o mês.