Взлом Volo Protocol на Sui: что произошло и какие риски выявлены

Платформа ликвидного стейкинга Volo Protocol, работающая в экосистеме Sui, подверглась эксплойту 22 апреля 2026 года. Общий ущерб составил около $3,5 млн, атака затронула хранилища (vaults) WBTC, XAUm и USDC. Для проекта это первый действительно серьезный инцидент за 18 месяцев работы, своего рода неприятный стресс-тест в боевых условиях.

Команда заявила, что берет убытки на себя полностью, редкий, но сильный сигнал рынку. При этом около $28 млн TVL в других хранилищах остались нетронутыми. Быстрая реакция, freeze всех vault’ов, позволила локализовать ущерб и не дать ситуации разрастись до полноценного cascade failure.

И здесь возникает ключевой вопрос. Дело не в том, провалился ли Volo, это уже очевидно. Гораздо важнее понять: речь идет о частной ошибке в реализации или это более тревожный звоночек о рисках внутри стремительно растущей DeFi-экосистемы Sui. Напомним, незадолго до инцидента общий TVL сети перевалил за $1,2 млрд.

Прежде чем разбирать саму атаку, важно определиться с ее классификацией. Команда Volo прямо указала, что проблема носит точечный характер и связана с конкретным vault’ом, а не с архитектурой протокола в целом. Именно поэтому соседние хранилища на $28 млн остались в безопасности.

Это не просто техническая деталь, а, по сути, линия разграничения. Либо перед нами локальный баг, либо потенциальная системная уязвимость, которая может аффектить другие проекты с похожей архитектурой.

Скомпрометированы были три vault’а: WBTC, XAUm и USDC. В совокупности из них вывели $3,5 млн. Конкретный вектор атаки пока не раскрыт, расследование продолжается. Команда не подтвердила, что именно стало триггером: ошибка в смарт-контракте, манипуляция оракулом или иной механизм. Варианты, как это обычно бывает в DeFi, остаются на столе.

ТОП-3 трейдеры

1

Eryx

Проверен

4.90

4.90

Отзывы 346 Обзор

2

Энергия Капитала

Проверен

4.77

4.77

Отзывы 239 Обзор

3

Aelto

Проверен

4.67

4.67

Отзывы 284 Обзор

В пост-мортеме Volo намерен связать корень проблемы с уязвимостью в сети Sui, однако до публикации отчета это утверждение остается неподтвержденным. И рынок, естественно, ждет деталей, без них картина неполная.

Зато таймлайн реакции выглядит уверенно. Эксплойт был обнаружен достаточно быстро, vault’ы заморожены, партнеры по экосистеме уведомлены, все это в течение нескольких часов. Такой response speed в DeFi, критически важный фактор и здесь команда явно не проспала момент.

Ончейн-аналитики, включая ZachXBT, отследили около $500 тыс., перемещенных на кошельки злоумышленника вскоре после атаки. К процессу координации возврата средств уже подключен Sui Foundation, стандартная, но необходимая практика в подобных кейсах.

Структурный вывод, который напрашивается, в целом не нов. Архитектура с изолированными vault’ами изначально задумывалась как способ ограничить риски. Но на практике она же может создавать точки концентрации уязвимостей, своеобразные узкие горлышки, через которые защита протокола обходится.

Сработала ли эта изоляция в пользу Volo? Скорее да. Ущерб ограничился $3,5 млн, а не всем TVL в $31,5 млн. В текущем контексте это выглядит как один из немногих однозначно позитивных моментов в этой истории.