ช่องโหว่ที่พบบ่อยใน DeFi: เหตุการณ์ Scallop เปิดเผยสัญญาณอะไร?
2026/05/05 09:50:23
แพลตฟอร์ม DeFi สัญญาว่าจะให้บริการทางการเงินแบบเปิดโดยไม่มีตัวกลาง แต่การโจมตีซ้ำๆ ยังคงทดสอบความเชื่อมั่นของผู้ใช้ กรณีของ Scallop เมื่อวันที่ 26 เมษายน 2026 โดดเด่นไม่ใช่เพราะขนาดของมัน แต่เพราะมันเปิดเผยความเสี่ยงในชีวิตประจำวันที่นักพัฒนาและผู้ใช้มักมองข้าม การโจมตีด้วย flash loan ได้ดึงเงินประมาณ 150,000 SUI ซึ่งมีมูลค่าประมาณ 142,000 ดอลลาร์สหรัฐในขณะนั้น จากสัญญารางวัลด้านข้างที่เชื่อมโยงกับ sSUI spool บนบล็อกเชน Sui ส่วนสัญญาให้กู้ยืมหลักยังไม่ได้รับผลกระทบ และทีม Scallop ได้ระงับสัญญาที่ได้รับผลกระทบอย่างรวดเร็ว ดำเนินการต่อ และรับรองว่าจะชดเชยความสูญเสียทั้งหมดจากทรัพยากรของตนเอง
เหตุการณ์นี้แสดงให้เห็นว่าโปรโตคอลที่มีชื่อเสียงบนโซ่ใหม่ยังคงเผชิญกับความไม่คาดคิดจากโค้ดที่ยังคงอยู่หลังจากสิ้นสุดการใช้งานตามที่ตั้งใจไว้ มันเป็นสัญญาณที่ชัดเจนว่าการเติบโตอย่างรวดเร็วของ DeFi วิ่งเร็วกว่าความพยายามในการทำความสะอาด ทำให้มีช่องทางที่ซ่อนอยู่เปิดอยู่สำหรับผู้โจมตีที่ผสมผสานข้อบกพร่องเก่าเข้ากับกลยุทธ์สมัยใหม่ เช่น ฟลัชลูนและแทรกแซงออราเคิล
วิธีการโจมตี Scallop ที่เกิดขึ้นแบบเรียลไทม์
เมื่อวันที่ 26 เมษายน 2026 Scallop ได้โพสต์ประกาศความปลอดภัยเมื่อเวลา 12:50 น. ตามเวลามาตรฐานสากล (UTC) เพื่อแจ้งรายละเอียดการถูกโจมตี ผู้โจมตีเป้าหมายสัญญารางวัล V2 ที่เลิกใช้งานแล้ว ซึ่งถูกเผยแพร่ครั้งแรกในเดือนพฤศจิกายน 2023 สำหรับสระรางวัล sSUI spool สัญญานี้ไม่ได้ถูกใช้งานเป็นเวลาประมาณ 17 เดือน จุดบกพร่องอยู่ที่ตัวแปร “last_index” ที่ยังไม่ได้รับการเริ่มต้นในบัญชี spool ใหม่ ซึ่งทำให้ผู้โจมตีสามารถเรียกร้องรางวัลย้อนหลังในปริมาณมหาศาลเทียบเท่ากับการสะสมเป็นเวลา 20 เดือน
รายงานอธิบายการโจมตีว่าเป็นการใช้ฟลัชลูนร่วมกับการจัดการราคาจากออร์เคิล ทำให้ผู้โจมตีสามารถยืมสินทรัพย์ในอัตราที่ผิดเพี้ยน ดึงมูลค่าออก และชำระคืนภายในธุรกรรมเดียวกัน ทีมงานได้แยกปัญหา ระงับสัญญา และยืนยันว่าการฝากของผู้ใช้หลักและฟังก์ชันตลาดเงินหลักยังคงปลอดภัย การดำเนินงานกลับมาดำเนินการอีกครั้งไม่นานหลังจากนั้น โดยโปรโตคอลเน้นย้ำว่าสัญญาด้านข้างไม่มีผลกระทบต่อกิจกรรมการให้ยืมหลัก การตอบสนองอย่างรวดเร็วนี้ช่วยป้องกันการแพร่กระจายที่กว้างขึ้น อย่างไรก็ตาม เหตุการณ์ดังกล่าวยังคงดึงดูดความสนใจจากชุมชนคริปโตที่ติดตามการสูญเสียรายวัน
ข้อบกพร่องทางเทคนิคที่ซ่อนอยู่อย่างชัดเจนมาเป็นเวลา 17 เดือน
ช่องโหว่นี้อยู่ในกลไกรางวัลแบบเก่าที่ไม่ได้ขับเคลื่อนแรงจูงใจของผู้ใช้ที่ใช้งานอยู่แล้ว นักพัฒนาได้ย้ายไปใช้เวอร์ชันใหม่กว่าแล้ว แต่แพ็กเกจเก่ายังคงเรียกใช้งานได้บนบล็อกเชน Sui ผู้โจมตีใช้ช่องโหว่นี้โดยสร้างบัญชี spool ซึ่งดัชนีที่ยังไม่ได้รับการเริ่มต้นจะมีค่าเริ่มต้นในลักษณะที่ทำให้การคำนวณรางวัลเพิ่มขึ้นอย่างมาก หลังจากสะสมแต้มแล้ว ผู้โจมตีก็แปลงเป็น SUI tokens จริงจากกองทุน นักวิเคราะห์ด้านความปลอดภัยระบุว่า การออกแบบสัญญาถือว่ามีการเริ่มต้นอย่างถูกต้อง ซึ่งเป็นข้อผิดพลาดที่พบบ่อยเมื่อโค้ดถูกเลิกใช้งานโดยไม่มีการลบออกอย่างสมบูรณ์หรือการควบคุมการเข้าถึง
กรณีนี้แสดงให้เห็นว่าบล็อกเชนเก็บรักษาสัญญาที่ถูกนำไปใช้งานทุกฉบับไว้ตลอดกาล ทำให้โมดูลที่ถูกลืมกลายเป็นภาระที่อาจเกิดขึ้นได้ การหยุดชั่วคราวอย่างรวดเร็วของ Scallop ได้หยุดการไหลออกเพิ่มเติม แต่เหตุการณ์นี้ตั้งคำถามเกี่ยวกับวิธีที่ทีมจัดการการเลิกใช้งานโค้ดในเครือข่ายที่มีความเร็วในการทำธุรกรรมสูงอย่าง Sui ซึ่งความเร็วในการทำธุรกรรมส่งเสริมให้มีการอัปเดตบ่อยครั้งโดยไม่ได้ล้างข้อมูลในอดีตเสมอไป
ทำไมสัญญาที่เลิกใช้งานแล้วจึงยังคงก่อปัญหาใน DeFi
โปรโตคอลหลายแห่งเปิดใช้งานฟีเจอร์ใหม่ ทดสอบแล้วจึงเปลี่ยนโฟกัสไปที่การอัปเกรดหรือการผสานรวมใหม่ คอนแทรกต์เก่ายังคงอยู่บนบล็อกเชนเพราะการลบออกทั้งหมดอาจทำให้ข้อมูลย้อนหลังเสียหายหรือต้องมีการย้ายข้อมูลที่ซับซ้อน ในกรณีของ Scallop ตัวสปูลรางวัล V2 ไม่มีกิจกรรมที่มีนัยสำคัญมานานกว่าหนึ่งปี แต่ยังคงมี SUI อยู่เพียงพอที่จะทำให้การโจมตีคุ้มค่า รูปแบบที่คล้ายกันปรากฏขึ้นทั่วระบบนิเวศ: ทีมงานให้ความสำคัญกับการเติบโตและ TVL ใหม่มากกว่าการตรวจสอบอย่างละเอียดของส่วนที่เป็นของเก่า
ผลลัพธ์นี้สร้างช่องว่างให้ผู้โจมตีที่ใช้เครื่องมืออัตโนมัติสแกนหาโค้ดที่ไม่ได้รับการดูแล Scallop’s incident เพิ่มเติมให้กับรูปแบบที่การสูญเสียเล็กน้อยและแยกจากกันยังคงบ่งชี้ช่องว่างด้านการดูแลรักษาที่กว้างขึ้น ผู้ใช้ที่โต้ตอบเฉพาะกับอินเทอร์เฟซปัจจุบันอาจไม่เคยรู้ว่าโค้ดที่ไม่ใช้งานอยู่อาจส่งผลกระทบต่อความเชื่อมั่นในแพลตฟอร์มทั้งหมดหากไม่ได้รับการจัดการอย่างเป็นรูปธรรม
สินเชื่อแบบทันทีพบกับกลอุบายของออร์เกิลในการโจมตีสมัยใหม่
สินเชื่อแบบแฟลชช่วยให้ผู้ใช้ยืมเงินจำนวนมหาศาลโดยไม่ต้องใช้หลักประกัน ตราบใดที่การชำระคืนเกิดขึ้นในหนึ่งธุรกรรมอะตอมิก ผู้โจมตีมักใช้ร่วมกับการจัดการข้อมูลราคาเพื่อสร้างสภาพตลาดเทียม ในเหตุการณ์ Scallop ผู้โจมตีน่าจะบิดเบือนข้อมูลที่เชื่อมโยงกับสัญญารางวัล ทำให้สามารถยืมเงินหรือเรียกร้องรางวัลในปริมาณที่มากผิดปกติก่อนชำระคืนสินเชื่อ กลยุทธ์นี้ได้กลายเป็นแผนการมาตรฐานเพราะไม่ต้องใช้ทุนเริ่มต้นและแสวงหาประโยชน์จากความไม่สอดคล้องกันชั่วคราวในแหล่งข้อมูล
บน Sui ซึ่งมีโมเดลที่เน้นวัตถุและการสรุปผลอย่างรวดเร็ว การโจมตีเช่นนี้สามารถดำเนินการได้อย่างแม่นยำ กรณีของ Scallop แสดงให้เห็นว่าแม้แต่ส่วนประกอบที่ไม่ใช่แกนหลักก็สามารถกลายเป็นเป้าหมายได้เมื่อ oracle ป้อนข้อมูลเข้าสู่ตรรกะการให้รางวัล โปรโตคอลที่ใช้ oracle หลายตัวหรือค่าเฉลี่ยแบบถ่วงน้ำหนักตามเวลา มุ่งลดความเสี่ยงนี้ แต่สัญญาแบบเดิมมักขาดการป้องกันเหล่านี้ ทำให้เกิดจุดเข้าถึงที่ง่ายสำหรับผู้เล่นที่มีความซับซ้อนซึ่งติดตามกิจกรรมบนโซ่
การตอบกลับของ Scallop และการตัดสินใจชดเชยความสูญเสียทั้งหมด
Scallop ดำเนินการอย่างรวดเร็วโดยระงับสัญญาที่มีช่องโหว่และเผยแพร่การอัปเดตอย่างโปร่งใสผ่าน X ทีมงานระบุว่าเงินทุนของผู้ใช้ในกองทุนที่ใช้งานอยู่ไม่ได้รับความเสี่ยง และให้คำมั่นว่าจะชดเชย SUI ทั้งหมด 150,000 จากทรัพยากรของโปรโตคอล แนวทางนี้ช่วยปกป้องผู้ฝากเงินและรักษาความเชื่อมั่นในพื้นที่การให้กู้ยืมที่มีการแข่งขันสูงบน Sui โดยการแยกปัญหาออกเป็นสัญญาด้านข้าง Scallop จึงไม่ต้องหยุดการดำเนินงานหลัก ทำให้การกู้ยืมและการให้กู้ยืมยังคงดำเนินต่อไป
การตัดสินใจนี้สะท้อนวิธีที่โปรโตคอลบางแห่งเลือกการประกันตนเองแทนการให้ผู้ใช้รับความสูญเสีย โดยเฉพาะเมื่อช่องโหว่เกิดจากโค้ดที่ไม่ใช่แกนหลัก ผู้สังเกตการณ์ระบุว่าการตอบสนองนี้ช่วยจำกัดความเสียหายต่อชื่อเสียง แม้ยังคงเน้นย้ำถึงต้นทุนจริงที่โปรโตคอลต้องรับเมื่อเกิดบั๊ก การชดเชยเต็มจำนวนช่วยปลอบใจผู้เข้าร่วมรายย่อยที่อาจถอนเงินออกในช่วงความไม่แน่นอน รักษาสภาพคล่องในระบบนิเวศโดยรวม
การเดินทางที่โหดร้ายของเหตุการณ์ DeFi ในเดือนเมษายน 2026
เดือนเมษายน 2026 ได้บันทึกการสูญเสียอย่างหนักทั่วทั้งภาคอุตสาหกรรม โดยมียอดรวมเกินกว่า 600 ล้านดอลลาร์สหรัฐในช่วงครึ่งแรกของเดือนเพียงอย่างเดียวจากเหตุการณ์หลายครั้ง กรณีที่มีชื่อเสียงรวมถึงการถูกโจมตีช่องทางเชื่อมต่อของ Kelp DAO ที่ดูดเงินไปประมาณ 293 ล้านดอลลาร์สหรัฐในรูปแบบ rsETH และเหตุการณ์ของ Drift Protocol ที่เกี่ยวข้องกับเงินประมาณ 285 ล้านดอลลาร์สหรัฐ การละเมิดขนาดเล็กกว่า เช่น การสูญเสีย 3.5 ล้านดอลลาร์สหรัฐของ Volo Protocol เมื่อวันที่ 22 เมษายน ยังเพิ่มขึ้นอย่างรวดเร็ว การสูญเสีย 142,000 ดอลลาร์สหรัฐของ Scallop นั้นอยู่ในคลื่นนี้ในฐานะตัวอย่างหนึ่งที่มีผลกระทบจำกัด แต่ยังคงมีส่วนร่วมในยอดรวมรายเดือนที่ทำให้เดือนเมษายนโดดเด่นว่าเป็นเดือนที่ท้าทายเป็นพิเศษ
ข้อมูลจากบริษัทติดตามตามแสดงให้เห็นถึงการเพิ่มขึ้นทั้งในความถี่และความหลากหลายของช่องทางการโจมตี ตั้งแต่การปลอมแปลงข้อความสะพาน การหลอกลวงทางสังคม ไปจนถึงข้อบกพร่องของสัญญาอัจฉริยะ การรวมตัวของเหตุการณ์ในช่วงต้นปีทำให้ตัวเลขสะสมตลอดทั้งปีสูงกว่าไตรมาสก่อนหน้าอย่างมาก ซึ่งสร้างแรงกดดันต่ออุตสาหกรรมทั้งหมดให้พิจารณาว่าทำไมการสูญเสียจึงยังคงสะสมอยู่ แม้ว่าบางโปรโตคอลจะมีความเป็นผู้ใหญ่มากขึ้น
วิธีที่ระบบนิเวศของ Sui ที่เติบโตขึ้นต้องเผชิญกับการตรวจสอบอย่างเข้มงวด
Sui ได้กำหนดตำแหน่งตัวเองเป็น Layer 1 ที่มีประสิทธิภาพสูงด้วยสถาปัตยกรรมที่เน้นวัตถุ ซึ่งรองรับการประมวลผลแบบขนานและการปิดรายการอย่างรวดเร็ว Scallop จัดอยู่ในจำนวนโปรโตคอลตลาดเงินชั้นนำของมัน โดยดึงดูดผู้ใช้ด้วยโอกาสการให้ยืมและผลตอบแทนที่มีประสิทธิภาพ การโจมตีแม้จะจำกัด แต่ก็ทำให้เกิดความสนใจใหม่ต่อแนวทางด้านความปลอดภัยภายในระบบนิเวศ โซ่ใหม่มักมีการเปิดตัวโปรโตคอลและการเติบโตของ TVL อย่างรวดเร็ว แต่ความเร็วนี้อาจทำให้การจัดการแบบดั้งเดิมอย่างละเอียดถูกละเลย
โครงการที่ใช้ Sui ได้รับประโยชน์จากจุดแข็งทางเทคนิคของเครือข่าย แต่กรณีของ Scallop แสดงให้เห็นว่าข้อได้เปรียบในระดับโซ่ไม่ได้ป้องกันสัญญาอัจฉริยะแต่ละตัวจากข้อผิดพลาดในการออกแบบโดยอัตโนมัติ การอภิปรายในชุมชนมุ่งเน้นไปที่การพิจารณาว่า วงจรการพัฒนาที่เร็วขึ้นบนแพลตฟอร์มที่มีนวัตกรรมอาจทำให้เกิดความเสี่ยงต่อเส้นทางโค้ดที่ถูกละเลยโดยไม่ตั้งใจ เหตุการณ์นี้กระตุ้นให้ทีมต่างๆ บน Sui ทบทวนกระบวนการปล่อยใช้งานอย่างรอบคอบ และส่งเสริมการจัดทำเอกสารอย่างละเอียดเกี่ยวกับโมดูลที่เลิกใช้งานแล้ว
ด้านมนุษย์ของโปรโตคอลที่ถูกโจมตี
เบื้องหลังการโจมตีแต่ละครั้งมีคนจริงๆ ที่เวลา ทุน และความเชื่อมั่นของพวกเขาอยู่ในภาวะเสี่ยง ผู้ใช้ Scallop ที่ได้staking ในสระ sSUI หรือรับรางวัลต่างเผชิญกับความไม่แน่นอนชั่วคราวในวันที่ 26 เมษายน ก่อนที่ทีมจะให้คำมั่น นักพัฒนาที่สร้างและต่อมาได้เลิกใช้สัญญา V2 น่าจะไม่เคยจินตนาการมาก่อนว่ามันจะกลายเป็นเป้าหมายหลังจากไม่มีกิจกรรมเป็นเวลา 17 เดือน นักวิจัยด้านความปลอดภัยและนักวิเคราะห์บนโซ่ที่สังเกตเห็นการไหลเวียนของธุรกรรมต่างใช้เวลาหลายชั่วโมงในการติดตามตัวแปรที่ไม่ได้รับการเริ่มต้นและกลไกการเพิ่มรางวัลอย่างไม่เหมาะสม
สำหรับผู้เข้าร่วมรายย่อยในชุมชน Sui เหตุการณ์นี้รู้สึกเป็นส่วนตัว เพราะหลายคนมองแพลตฟอร์ม DeFi เป็นเครื่องมือประจำวันสำหรับสร้างผลตอบแทน มากกว่าการทดลองความเสี่ยงสูง ความมุ่งมั่นของโปรโตคอลในการให้การคุ้มครองเต็มรูปแบบช่วยลดความเครียดทันทีสำหรับผู้ที่ได้รับผลกระทบทางอ้อมผ่านsentiment ของตลาด เรื่องราวแบบนี้เตือนเราให้ระลึกว่าโค้ดทำงานบนการตัดสินใจของมนุษย์ ไม่ว่าจะเป็นเรื่องอะไรที่ควรรักษาไว้ อะไรที่ควรเลิกใช้ และควรสื่อสารอย่างโปร่งใสเพียงใดเมื่อเกิดปัญหา
รูปแบบที่เกิดซ้ำอยู่บ่อยครั้งในโปรโตคอลการให้ยืม
แพลตฟอร์มการให้ยืมมีสถาปัตยกรรมที่คล้ายกันซึ่งเกี่ยวข้องกับหลักประกัน การกู้ยืม ออร์เคิลส์ และชั้นแรงจูงใจ รางวัลของ Scallop สะท้อนคุณสมบัติที่พบในตลาดเงินหลายแห่งที่ใช้จุดหรือโทเค็นเพื่อให้รางวัลแก่ผู้เข้าร่วม เมื่อทีมเลิกใช้ระบบแรงจูงใจโดยไม่ตัดความเชื่อมโยงกับสระสินทรัพย์อย่างสมบูรณ์ ความเสี่ยงยังคงอยู่ การโจมตีด้วยฟลัชลอนด์เคยเป้าหมายการตั้งค่าที่คล้ายกันมาก่อน เพราะสามารถขยายความแตกต่างของราคาเล็กน้อยให้กลายเป็นกำไรขนาดใหญ่ ระยะเวลาการหยุดทำงาน 17 เดือนของสัญญา Scallop สะท้อนกรณีที่โปรโตคอลอัปเกรดอินเทอร์เฟซแต่ยังคงให้ตรรกะด้านหลังสามารถเข้าถึงได้
Across ecosystems, auditors sometimes focus heavily on active code while giving less scrutiny to archived packages. This incident adds concrete data to discussions about code lifecycle management: regular sunset processes, access revocations, or even on-chain markers signaling deprecation could reduce surprise attacks. The event fits a larger observation that incentive mechanisms, while great for user engagement, often introduce complex calculations prone to edge cases if not stress-tested over time.
ตัวเลขบอกอะไรเกี่ยวกับแนวโน้มการสูญเสียใน DeFi ปี 2026
บริการติดตามรายงานว่าการสูญเสียในด้าน DeFi ในต้นปี 2026 ได้แตะระดับหลายร้อยล้านดอลลาร์ โดยเดือนเมษายนได้เร่งความเร็วอย่างมาก การวิเคราะห์หนึ่งระบุว่าตัวเลขของเดือนเมษายนเกินกว่า 600 ล้านดอลลาร์ภายในเวลาประมาณ 18 วันจากเหตุการณ์ประมาณโหลหนึ่งครั้ง ยอดรวมตั้งแต่ต้นปีได้พุ่งเกินกว่า 750 ล้านดอลลาร์ในบางการประมาณการ เนื่องจากปัจจัยผสมผสานระหว่างการโจมตีสะพาน ปัญหาออราเคิล และการละเมิดการดำเนินงาน เหตุการณ์เล็กๆ เช่น Scallop ก็ยังมีความสำคัญเพราะเมื่อสะสมกันจะค่อยๆ ทำลายความเชื่อมั่นของภาคอุตสาหกรรมโดยรวม
ขนาดของความสูญเสียเฉลี่ยแตกต่างกันไป แต่แม้แต่การละเมิดที่ถูกจำกัดก็แสดงให้เห็นว่าต้นทุนของการล้มเหลวด้านความปลอดภัยตกอยู่ที่คลังของโปรโตคอลหรือกองทุนประกัน ตัวเลขเหล่านี้มาจากข้อมูลบนโซ่และรายงานเหตุการณ์ที่รวบรวมโดยบริษัทที่ติดตามการโจมตีแบบเรียลไทม์ การรวมตัวกันในเดือนเมษายนเน้นย้ำว่าการโจมตีเป็นกลุ่มสามารถเกิดขึ้นได้เมื่อเงื่อนไขตลาดหรือการปรับปรุงเครื่องมือทำให้ช่องทางบางอย่างมีกำไรสูงขึ้น กรณีของ Scallop ซึ่งคิดเป็นสัดส่วนเล็กน้อยของยอดรวมรายเดือน ยังคงมีส่วนร่วมในเรื่องเล่าที่ว่าช่องโหว่ยังคงมีอยู่แม้จะมีมูลค่าที่ถูกล็อกไว้เพิ่มขึ้นในระบบนิเวศที่มีศักยภาพ
บทเรียนจากวิธีที่ทีมจัดการกับการฟื้นตัวหลังการถูกโจมตี
การแยกแยะอย่างรวดเร็วและการสื่อสารอย่างโปร่งใสได้กลายเป็นตัวชี้วัดสำคัญของการตอบสนองที่มีประสิทธิภาพ Scallop ได้ปลดล็อกสัญญาหลักหลังจากยืนยันว่าปัญหาอยู่ในขอบเขตที่ควบคุมได้ ทำให้กิจกรรมปกติสามารถกลับมาดำเนินต่อได้โดยไม่มีระยะเวลาหยุดยาวนาน การรับผิดชอบความสูญเสียภายในช่วยหลีกเลี่ยงการบังคับให้ผู้ใช้รับความสูญเสีย ซึ่งอาจกระตุ้นให้เกิดการถอนเงินออกในตลาดที่มีการแข่งขันสูง โปรโตคอลหลายแห่งตอนนี้จัดสรรงบประมาณด้านความปลอดภัยเฉพาะหรือร่วมมือกับผู้ให้บริการประกันภัยเพื่อจัดการเหตุการณ์ดังกล่าว
การแจ้งอย่างเป็นทางการและการอัปเดตเพิ่มเติมจากทีม Scallop ช่วยจำกัดการเดาและการตื่นตระหนก ในทางตรงข้าม การตอบสนองที่ช้าหรือไม่ชัดเจนในเหตุการณ์ก่อนหน้าได้นำไปสู่การลดลงของ TVL อย่างต่อเนื่อง วิธีการนี้แสดงให้เห็นถึงคุณค่าของการมีแผนรับมือเหตุการณ์พร้อมใช้งาน รวมถึงกลไกการหยุดสัญญาและเจ้าของที่ชัดเจนสำหรับบ่อนข้างเคียง สำหรับผู้ใช้ การสังเกตว่าทีมงานดำเนินการอย่างไรในชั่วโมงแรกหลังการเปิดเผยข้อมูล จะให้ข้อมูลเชิงลึกเกี่ยวกับความเป็นมืออาชีพในการดำเนินงานที่ลึกซึ้งกว่าคำโฆษณา
สัญญาณที่กว้างขึ้นสำหรับผู้ใช้ที่กำลังค้นหาโอกาสในการรับผลตอบแทน
กิจกรรม Scallop ส่งเสริมให้ผู้เข้าร่วมพิจารณาอย่างละเอียดว่าผลตอบแทนมาจากการใดและโค้ดใดสนับสนุนพวกมัน ผู้เข้าร่วมมักตรวจสอบ APY และ TVL ปัจจุบัน แต่แทบไม่เคยศึกษาประวัติสัญญาหรือสถานะการเสื่อมค่า บนแพลตฟอร์มเช่น Scallop รางวัลที่เกี่ยวข้องกับ sSUI เคยเชื่อมโยงกับ spool ที่มีช่องโหว่ ดังนั้นการเข้าใจการพัฒนาของแรงจูงใจจึงมีความสำคัญ ผู้ใช้จะได้รับประโยชน์จากการเลือกโปรโตคอลที่เอกสารการเปลี่ยนแปลงโค้ดอย่างชัดเจนและเลิกใช้ส่วนประกอบเก่าอย่างสะอาดตา
เหตุการณ์นี้ยังเน้นย้ำบทบาทของคุณลักษณะเฉพาะของแต่ละโซ่: โมเดลของ Sui ช่วยให้การโต้ตอบมีประสิทธิภาพ แต่ยังคงต้องการการดูแลรักษาสัญญาอัจฉริยะอย่างระมัดระวัง การกระจายการลงทุนข้ามแพลตฟอร์มหลายแห่งและติดตามช่องทางอย่างเป็นทางการในช่วงเหตุการณ์สามารถช่วยจัดการความเสี่ยงได้ แม้ว่าแพลตฟอร์มใดๆ จะไม่สามารถกำจัดความเสี่ยงได้ทั้งหมด แต่ความตระหนักรู้เกี่ยวกับรูปแบบทั่วไป เช่น ตรรกะรางวัลแบบเก่าหรือการพึ่งพาฟลักซ์โลน ช่วยให้ผู้ใช้ตัดสินใจได้อย่างมีข้อมูลมากขึ้นในพื้นที่ที่นวัตกรรมเคลื่อนตัวอย่างรวดเร็ว
การมองไปข้างหน้าเกี่ยวกับแนวทางด้านความปลอดภัยใน DeFi ที่กำลังพัฒนา
เมื่อโปรโตคอลมีความเป็นผู้ใหญ่ขึ้น ความสนใจจึงเริ่มเปลี่ยนไปสู่การกำกับดูแลโค้ดที่ดีขึ้น รวมถึงการเลิกใช้งานสัญญาที่ไม่ใช้งานอัตโนมัติและการตรวจสอบที่เพิ่มขึ้นสำหรับโมดูลที่ไม่ใช้งาน ทีมงานกำลังสำรวจการยืนยันอย่างเป็นทางการหรือโปรแกรมบั๊กบันตี้อย่างต่อเนื่องที่มุ่งเน้นไปที่โค้ดรุ่นเก่า เคสของ Scallop แม้จะมีขนาดเล็ก แต่ก็เป็นคำเตือนเชิงปฏิบัติว่า การเติบโตบนโซ่ใหม่ไม่ได้ลบความจำเป็นในการดูแลรักษาอย่างมีวินัย
การกำกับดูแลโดยชุมชนบางครั้งลงคะแนนเสียงเกี่ยวกับการอัปเกรดด้านความปลอดภัย ทำให้ผู้ใช้สามารถมีส่วนร่วมในการจัดลำดับความสำคัญของการตรวจสอบความปลอดภัย การออกแบบในอนาคตอาจรวมถึงการล็อกเวลาหรือธงการเลิกใช้งานอย่างชัดเจนที่ป้องกันไม่ให้เรียกใช้ตรรกะเก่า เหตุการณ์นี้เพิ่มความรู้ร่วมกันเกี่ยวกับพื้นที่โจมตีในโลกจริง ช่วยให้นักพัฒนาในโครงการต่างๆ สามารถคาดการณ์ปัญหาที่คล้ายกันได้ ผู้ใช้และผู้สร้างต่างได้รับประโยชน์จากการถือว่าสัญญาที่ถูกนำไปใช้งานทุกฉบับเป็นสัญญาที่ยังใช้งานอยู่จนกว่าจะพิสูจน์ได้ว่าไม่ใช่ผ่านการทำความสะอาดอย่างเข้มงวด
คำถามที่พบบ่อย
เกิดอะไรขึ้นอย่างละเอียดในการโจมตี Scallop เมื่อวันที่ 26 เมษายน 2026?
ผู้โจมตีใช้ฟลัชลูนและจัดการองค์ประกอบในสัญญารางวัลเวอร์ชัน V2 ที่เลิกใช้งานซึ่งเชื่อมโยงกับสปูล sSUI ทำให้ดูดเงิน SUI ประมาณ 150,000 หน่วย มูลค่าประมาณ 142,000 ดอลลาร์สหรัฐ โปรโตคอลการให้กู้ยืมหลักไม่ได้รับผลกระทบ และทีมงานได้ระงับสัญญาอย่างรวดเร็วพร้อมรับประกันการชดเชยเต็มจำนวน
ผู้ใช้สูญเสียเงินจากเงินฝากหลักบน Scallop หรือไม่?
ไม่ การโจมตีมุ่งเป้าไปที่สัญญารางวัลด้านข้างที่ไม่ได้ใช้งานมาเป็นเวลา 17 เดือน การดำเนินงานหลักของตลาดเงิน การฝากของผู้ใช้ และกองทุนที่ใช้งานอยู่ยังคงดำเนินต่อไปโดยไม่มีการหยุดชะงัก และโปรโตคอลได้ให้คำมั่นว่าจะชดเชยความสูญเสียทั้งหมดจากทรัพยากรของตนเอง
ทำไมสัญญาที่เลิกใช้งานแล้วจึงยังคงก่อให้เกิดความเสี่ยงหลายปีหลังจากการเปิดตัว?
บล็อกเชนเก็บสัญญาอัจฉริยะทุกฉบับให้สามารถเข้าถึงได้อย่างถาวร เมื่อทีมงานหยุดใช้เวอร์ชันเก่าแต่ไม่ได้จำกัดหรือลบออกอย่างสมบูรณ์ ผู้โจมตียังสามารถโต้ตอบได้หากมีช่องโหว่เช่นตัวแปรที่ไม่ได้รับค่าเริ่มต้น กรณีของ Scallop แสดงให้เห็นว่าการไม่ทำงานเป็นเวลา 17 เดือนไม่ได้ทำให้ค่าของกองทุนรางวัลสูญหายไปจากเป้าหมาย
การโจมตีด้วยฟลัชลูนเกิดขึ้นบ่อยแค่ไหนในโปรโตคอลการให้กู้ยืมแบบ DeFi?
พวกมันปรากฏขึ้นเป็นประจำเพราะสินเชื่อแบบแฟลชไม่ต้องใช้หลักประกันและปิดรายการทันที การผสานกับการจัดการข้อมูลจากออราเคิลทำให้ผู้โจมตีสามารถสร้างความผิดเพี้ยนชั่วคราวเพื่อดึงมูลค่าออก กรณีของ Scallop ตามรูปแบบนี้แต่จำกัดอยู่ที่ส่วนที่ไม่ใช่แกนหลัก
ผู้ใช้ DeFi สามารถดำเนินการใดบ้างเพื่อลดความเสี่ยงจากเหตุการณ์คล้ายกัน?
ตรวจสอบประกาศอย่างเป็นทางการเพื่อหาปัญหาที่รายงานใดๆ ทบทวนประวัติการอัปเดตโค้ดของโปรโตคอล และทำความเข้าใจว่าผลตอบแทนมาจากการใด โปรดเลือกแพลตฟอร์มที่มีการสื่อสารอย่างโปร่งใสและประวัติการตอบสนองที่ดี การกระจายการถือครองทรัพย์สินข้ามโซ่และโปรโตคอลต่างๆ ยังช่วยจัดการความเสี่ยงโดยรวมอีกด้วย
เหตุการณ์ Scallop บ่งชี้ถึงปัญหาที่ใหญ่กว่าสำหรับระบบนิเวศ Sui หรือไม่?
มันเน้นย้ำถึงความจำเป็นในการจัดการรหัสเดิมอย่างระมัดระวัง แม้แต่บนโซ่ที่มีประสิทธิภาพสูง Sui ยังคงเติบโตด้วยรากฐานทางเทคนิคที่แข็งแกร่ง แต่โปรโตคอลแต่ละตัวต้องรักษาความสะอาดเกี่ยวกับส่วนประกอบที่เลิกใช้งานแล้ว ลักษณะของการสูญเสียที่จำกัดและการกู้คืนอย่างรวดเร็วบ่งชี้ว่าระบบนิเวศสามารถตอบสนองได้อย่างมีประสิทธิภาพเมื่อเกิดปัญหา
ข้อจำกัดความรับผิด
เนื้อหานี้มีจุดประสงค์เพื่อให้ข้อมูลเท่านั้น และไม่ถือเป็นคำแนะนำด้านการลงทุน การลงทุนในคริปโตเคอเรนซีมีความเสี่ยง โปรดทำการวิจัยด้วยตัวเอง (DYOR)
คำปฏิเสธความรับผิดชอบ: หน้านี้แปลโดยใช้เทคโนโลยี AI (ขับเคลื่อนโดย GPT) เพื่อความสะดวกของคุณ สำหรับข้อมูลที่ถูกต้องที่สุด โปรดดูต้นฉบับภาษาอังกฤษ