Scallop DeFi漏洞利用事件揭露已棄用合約風險，正值2026年4月累計損失6.06億美元之際

TLDR：

• Scallop 損失的 14 萬美元來自一個已棄用的獎勵合約，而非其核心借貸協議基礎設施。
• 2026 年 4 月已記錄 13 起 DeFi 漏洞攻擊事件，使行業總損失超過 6.06 億美元，成為繼 Bybit 事件以來損失最慘重的月份。
• Scallop 於 2025 年 2 月通過了 Sui 基金會的全面審計，但該棄用合約仍是一個公開的風險。
• 專家建議分散資金、避免使用舊有合約，並定期提取獎勵以降低風險敞口。

Sui 最大的借貸協議 Scallop 於 2026 年 4 月 26 日遭受漏洞攻擊，損失約 14 萬美元。

此次攻擊針對的是一個已棄用的獎勵合約，而非核心協議本身。事件發生後，Scallop 團隊凍結了受影響的合約，找出了漏洞並恢復了運營。

用戶存款在整個事件中未受任何影響。此事件進一步增加了 2026 年 4 月單月內不斷累積的 DeFi 漏洞攻擊清單。

棄用合約成為攻擊者的入侵切入點

Scallop 此次遭受的漏洞攻擊並未突破協議的主要基礎設施，攻擊者而是在一個舊的、未使用的獎勵合約中找到了突破口。

這一區別至關重要，因為它說明了遺留代碼如何隨著時間的推移演變為安全隱患。協議往往在未從網絡中完全移除某些組件的情況下便將其停用。

Scallop 已於 2025 年 2 月完成了由 Sui 基金會主導的全面審計。儘管經過了該次審查，該棄用合約仍是一個薄弱環節。

加密貨幣分析師 Crypto Patel 在 X 上指出「通過審計並不代表安全」，並以 Scallop 和 Kelp DAO 為例。Kelp DAO 在遭受攻擊前通過了兩次獨立審計，但仍損失了 2.92 億美元。

Scallop 團隊迅速隔離了漏洞並暫停了相關合約，隨後很快恢復了運營，團隊確認用戶資金未受任何風險。

快速的應對措施將損失控制在了棄用組件範圍內。儘管如此，此次事件仍引發了外界對舊有合約被日益頻繁地用作攻擊媒介的關注。

這一模式在近幾個月內於 Sui 生態系統中變得愈發普遍。開發者和安全研究人員已開始將未使用的合約標記為一項日益值得關注的問題。

若協議在未進行妥善停用的情況下仍保留棄用組件處於活躍狀態，則面臨更高的風險。Scallop 此案為這一持續討論提供了一個實際的參考案例。

2026 年 4 月創下繼 Bybit 以來 DeFi 損失最慘重月份的紀錄

2026 年 4 月對整個 DeFi 領域而言是極為艱難的一個月。行業損失已超過 6.06 億美元，成為繼 Bybit 事件以來損失最慘重的月份。

Scallop 此次漏洞攻擊是本月記錄在案的第 13 起 DeFi 安全事件。如此高頻率的事件指向去中心化金融平台所面臨的系統性挑戰。

Sui 網絡在過去一年中尤其多次發生安全事件。Cetus DEX 於 2025 年 5 月損失 2.23 億美元，隨後 Nemo Protocol 於 2025 年 9 月損失 240 萬美元。

Volo Protocol 於 2026 年 4 月 22 日遭受攻擊，損失 350 萬美元，距 Scallop 事件僅數日之差。這些事件反映出 Sui 旗下各協議存在反覆出現的漏洞模式。

風險管理已成為 DeFi 參與者之間討論的迫切議題。Crypto Patel 建議避免使用棄用合約，並定期提取獎勵，而非讓其閒置。

將資金分散至多個協議而非集中於單一平台，同樣可以降低風險敞口。在存入資金前關注協議官方公告，則可增加另一層保護。

更廣泛的 DeFi 社群持續探討如何強化審計流程。通過審計並不能保證協議不存在可被利用的代碼，尤其是在遺留組件方面。

涵蓋棄用合約的持續安全審查正逐漸成為業界推薦的做法。2026 年 4 月發生的一系列事件，很可能將影響各協議未來對合約生命週期管理的處理方式。

The post Scallop DeFi Exploit Exposes Deprecated Contract Risk Amid April 2026's $606M Loss Streak appeared first on Blockonomi.