Belakangan ini, kejadian kerugian di Scallop patut diperhatikan.

Perjanjian pinjaman terbesar Sui diserang pada 26 April, dengan kerugian sekitar 140.000 dolar AS.
Sekilas jumlahnya tidak besar, tetapi masalah yang tercermin di baliknya jauh lebih patut diwaspadai daripada angka itu sendiri.

Titik masuk serangan kali ini sangat menarik — bukan dari sistem pinjaman inti Scallop, melainkan dari kontrak hadiah yang sudah lama tidak digunakan dan ditemukan celahnya.
Ini seperti pintu depan rumah yang sangat aman, tetapi pintu belakang yang usang tidak terurus.
Penyerang masuk melalui pintu lama yang terlupakan ini.

Yang menarik adalah, Scallop baru saja menyelesaikan audit menyeluruh yang dipimpin oleh Yayasan Sui pada Februari 2025.
Namun demikian, kontrak yang sudah tidak digunakan ini tetap menjadi titik lemah.
Analis menunjukkan bahwa audit tidak sama dengan keamanan, contoh klasiknya adalah Kelp DAO — setelah dua audit independen, mereka tetap kehilangan 292 juta dolar AS.

Respons tim Scallop cukup baik, mereka dengan cepat mengisolasi celah, menghentikan kontrak terkait, dan dana pengguna tidak terpengaruh.
Namun, kejadian ini mengungkapkan masalah yang semakin umum: semakin banyak kontrak lama di ekosistem Sui yang digunakan sebagai media serangan.

Lebih memburuk lagi, situasi keseluruhan bulan April.
Bulan ini, bidang DeFi mencatat 13 insiden keamanan, dengan kerugian total lebih dari 606 juta dolar AS, menjadi bulan paling parah setelah kejadian di salah satu bursa besar.
Jaringan Sui sangat terdampak — Cetus kehilangan 223 juta dolar AS pada Mei 2025, Nemo kehilangan 2,4 juta dolar AS pada September, dan Volo kehilangan 3,5 juta dolar AS pada 22 April.
Kejadian-kejadian ini terjadi secara berdekatan, menunjukkan bahwa ini bukan hanya celah tunggal, melainkan tantangan sistemik.

Bagaimana cara mengurangi risiko?
Pertama, jangan gunakan kontrak lama yang sudah dihentikan.
Kedua, tarik hadiah secara rutin, jangan biarkan mereka menganggur.
Yang lebih penting, diversifikasi dana, jangan menaruh semua telur dalam satu keranjang.
Juga, perhatikan pengumuman resmi sebelum masuk ke dalam ekosistem.

Dari sudut pandang yang lebih besar, proses audit perlu diperkuat, terutama untuk kontrak yang sudah tidak aktif.
Serangkaian kejadian di bulan April ini mungkin akan memaksa berbagai protokol untuk meninjau kembali manajemen siklus hidup kontrak.
Kasus Scallop memberi peringatan kepada seluruh industri.