Останні події з збитками Scallop заслуговують на увагу. Найбільший кредитний протокол Sui зазнав атаки 26 квітня, втративши близько 140 000 доларів США. З першого погляду сума не велика, але проблеми, що стоять за цим, набагато важливіші за самі цифри і варті більшої уваги.

Цей випадок атаки дуже цікавий — він не почався з основної системи кредитування Scallop, а з давно застарілого контракту заохочень, що став точкою входу. Це нагадує ситуацію, коли зовнішні двері будинку добре захищені, але старі двері у задньому дворі залишилися без уваги. Атака здійснена саме через цю забуту стару двері.

Цікаво, що Scallop пройшов повний аудит під керівництвом Sui Foundation лише у лютому 2025 року. Але навіть у цьому випадку цей застарілий контракт залишився слабким місцем. Аналітики зазначають, що аудит не гарантує безпеку — яскравий приклад тому Kelp DAO, який після двох незалежних аудитів втратив 292 мільйони доларів.

Реакція команди Scallop була швидкою — вони швидко ізолювали вразливість, призупинили відповідні контракти, і користувачі не зазнали втрат. Але ця подія виявила все більш поширену проблему: у екосистемі Sui дедалі більше застарілих контрактів використовуються як засоби для атак.

Ще більш тривожною є ситуація у квітні. За цей місяць у секторі DeFi зафіксовано 13 інцидентів безпеки, загальні збитки перевищили 606 мільйонів доларів, що зробило цей місяць найскладнішим після інциденту з однією з великих бірж. Особливо постраждав мережевий протокол Sui — Cetus втратив 223 мільйони доларів у травні, Nemo у вересні — 2,4 мільйона доларів, Volo 22 квітня — 3,5 мільйона доларів. Ці події відбуваються у тісному часі і свідчать не про окремі вразливості, а про системні виклики.

Як зменшити ризики? По-перше, не використовуйте застарілі контракти, які вже виведені з експлуатації. По-друге, регулярно виводьте нагороди, щоб вони не залишалися без діла. Важливо також диверсифікувати активи і не класти всі яйця в один кошик. Перед входом у протокол слід уважно слідкувати за офіційними оголошеннями.

З більш широкої перспективи, потрібно посилити процес аудиту, особливо щодо застарілих контрактів. Серія подій у квітні може змусити протоколи переглянути управління життєвим циклом контрактів. Приклад Scallop нагадує всій галузі про необхідність цього.