Hợp đồng V2 bị khai thác của Scallop bị bỏ rơi; sau khi bị đánh cắp 150.000 token SUI, công ty thông báo sẽ bồi thường toàn bộ

Sui Network 分散式借貸協議 Scallop 於 4 月 26 日（周日）透過 X 平台發布官方公告，確認遭受漏洞攻擊，攻擊者從與 sSUI spool 關聯的廢棄獎勵合約中提取約 150,000 枚 SUI。根據官方聲明，核心資金池及用戶存款未受影響，協議已恢復存提款，確認將以公司資金全額賠償所有損失。

Dòng thời gian sự kiện và phản hồi chính thức từ Scallop

Theo thông báo trên nền tảng X chính thức của Scallop (12:50 UTC ngày 26 tháng 4), mục tiêu của cuộc tấn công là hợp đồng phần thưởng phụ thuộc của sSUI spool; hợp đồng này là lớp khuyến khích dành cho người gửi tiền SUI của giao thức, không phải logic cốt lõi của hoạt động vay mượn. Nhóm Scallop đã đóng băng hợp đồng bị ảnh hưởng trong vòng vài phút sau khi sự cố xảy ra; hợp đồng cốt lõi được đóng băng và việc mở khóa diễn ra trong vòng hai giờ, còn việc rút và nạp được khôi phục vào 14:42 UTC.

Tuyên bố chính thức của Scallop cho biết: “Scallop sẽ bồi hoàn toàn bộ 100% tổn thất.”

Phân tích kỹ thuật lỗ hổng: Bộ gói chưa được khởi tạo của năm 2023 đã bị bỏ

（Nguồn：Vadim）

Theo phân tích độc lập trên chuỗi, điểm xâm nhập là bộ gói V2 spool bị bỏ mà Scallop triển khai vào tháng 11 năm 2023, cách thời điểm xảy ra cuộc tấn công này hơn 17 tháng. Trong kiến trúc kỹ thuật của Sui Network, các bộ gói đã được triển khai không thể thay đổi; trừ khi có thiết lập rõ ràng về kiểm soát phiên bản, thì phiên bản cũ vẫn có thể được gọi.

Kẻ tấn công đã phát hiện bộ đếm last_index chưa được khởi tạo trong gói phần mềm; bộ đếm này dùng để theo dõi phần thưởng tích lũy của những người đặt cọc. Kẻ tấn công đã đặt cược khoảng 136,000 sSUI; hệ thống xem vị thế này như một vị thế đã tồn tại kể từ khi spool được khởi chạy từ tháng 8 năm 2023. Sau khoảng 20 tháng tích lũy theo cấp số nhân, chỉ số của spool tăng lên khoảng 1.19 tỷ, giúp kẻ tấn công nhận được khoảng 162 nghìn tỷ điểm thưởng, và được đổi theo tỷ lệ 1:1 thành 150,000 SUI.

Có thể tra cứu lịch sử giao dịch trên chuỗi theo giá trị băm (hash): 6WNDjCX3W852hipq6yrHhpUaSFHSPWfTxuLKaQkgNfVL

Ghi nhận các sự kiện lỗ hổng DeFi gần đây trên Sui

Theo các bài báo đưa tin công khai, đầu tháng 4 năm 2026, Volo Protocol trên Sui Network đã xảy ra một cuộc tấn công tương tự; mục tiêu cũng là các hợp đồng phụ thuộc chứ không phải logic cốt lõi của giao thức, với thiệt hại khoảng 3.5 triệu USD. Ngoài ra, một tuần trước khi xảy ra cuộc tấn công, mạng Ethereum đã ghi nhận một vụ tấn công bắc cầu; khoảng 292 triệu USD token thanh khoản được tái đặt cọc không có bảo đảm đã bị đánh cắp.

Cho đến thời điểm bài viết này được công bố, Sui Foundation và Mysten Labs đều chưa đưa ra tuyên bố công khai về sự kiện Scallop. Theo phần giải thích chính thức của Scallop, giao thức có kế hoạch tiến hành kiểm toán toàn diện đối với tất cả các bộ gói phiên bản cũ hiện còn; lịch kiểm toán sẽ được xác định sau.

Câu hỏi thường gặp

Thời điểm xảy ra cuộc tấn công lỗ hổng này và quy mô thiệt hại là gì?

Theo thông báo trên nền tảng X chính thức của Scallop, cuộc tấn công xảy ra vào 12:50 UTC ngày 26 tháng 4 năm 2026 (Chủ nhật); kẻ tấn công đã rút khoảng 150,000 SUI từ hợp đồng phần thưởng của sSUI spool bị bỏ. Quỹ cho vay/ vay mượn cốt lõi và tiền gửi của người dùng trên các thị trường khác đều không bị ảnh hưởng.

Scallop đã cam kết chính thức gì cho cuộc tấn công lần này?

Theo tuyên bố chính thức của Scallop, giao thức đã đóng băng các hợp đồng bị ảnh hưởng trong vòng vài phút sau cuộc tấn công và khôi phục đầy đủ chức năng hoạt động vào 14:42 UTC (khoảng hai giờ sau khi thông báo được đăng). Scallop xác nhận sẽ bồi hoàn toàn bộ các tổn thất bằng vốn công ty, lợi ích của người dùng không bị ảnh hưởng, và có kế hoạch tiến hành kiểm toán toàn diện đối với tất cả các bộ gói phiên bản cũ hiện còn.

Nguyên nhân kỹ thuật cốt lõi của lỗ hổng này là gì, và có liên quan như thế nào đến kiến trúc kỹ thuật của Sui Network?

Theo phân tích độc lập trên chuỗi, lỗ hổng bắt nguồn từ một bộ đếm last_index chưa được khởi tạo trong bộ gói V2 spool bị bỏ mà Scallop triển khai vào tháng 11 năm 2023. Trên Sui Network, các bộ gói đã được triển khai không thể thay đổi; trừ khi có thiết lập rõ ràng về kiểm soát phiên bản, thì phiên bản cũ vẫn có thể được gọi, qua đó cho phép kẻ tấn công khai thác đoạn mã bị bỏ đã hơn 17 tháng trước để rút 150,000 SUI.