近期，Sui链上的DeFi借贷协议Scallop遭遇了一起安全事件，其SUI奖励池被攻击者利用旧合约漏洞窃取了约150,000枚SUI（按当前市价折合约数十万美元）。幸运的是，由于协议采用了模块化设计，攻击仅被限制在边缘合约层，核心池的流动性和总锁仓价值（TVL）并未受到实质性冲击，市场恐慌情绪得到有效控制。
攻击细节：老合约未初始化索引致奖励膨胀
根据官方调查，攻击者利用了Scallop一个已废弃的V2旧合约中的逻辑缺陷。该合约在用户质押时未正确设置last_index参数，导致系统在计算奖励时分不清起始点，直接从创世区间开始累积。由于该合约的spool index已增长至约11.9亿，攻击者仅凭借136,000枚sSUI质押量，就凭空生成了约150,000枚SUI的巨额奖励，并全部转入了单一钱包。这一操作显示攻击者对协议代码路径极为熟悉，但漏洞并未触及到经过审计的核心模块。
协议响应：冻结合约、全额赔付，TVL稳守2200万美元
事件发生后，Scallop团队迅速冻结了受影响的旧合约，切断了损失进一步扩大的可能性。更重要的是，团队宣布将100%覆盖用户损失，以恢复社区信心。这种及时且透明的处理方式，加上核心合约的稳定运行，使得用户存款和提现功能未受阻碍。数据显示，事件发生后Scallop的TVL仍坚挺在2,237万美元附近，并未出现恐慌性的大规模资金出逃。这表明市场参与者普遍认识到攻击的有限范围，并认可了团队的风险隔离能力。
市场影响与信任考验
尽管此次攻击被成功“隔离”，但它仍然暴露出DeFi协议中“遗忘代码路径”带来的潜在风险。随着协议迭代，旧合约往往成为攻击者的突破口，即使核心模块安全，边缘漏洞也能造成数百万美元的损失。对于Scallop而言，短期信任由全额赔付和TVL稳定支撑；但长期来看，如果协议不能彻底清理或禁用所有遗留合约，用户可能会持续存在安全担忧，从而影响后续资金流入。当前TVL的稳定更多是“观望”信号，若未来几周内未出现大规模解锁，则信心将进一步巩固；反之，延迟的流出风险依然存在。
总体而言，Scallop在此次事件中展现了模块化设计的韧性，以及危机处理的高效性。在Sui生态尚处早期扩张的背景下，此类孤立事件若能得到妥善解决，反而可能强化用户对协议安全机制的认知。不过，整个DeFi行业仍需警惕：每一次边缘漏洞的修复，都是对协议安全体系的一次压力测试。