Sui-baseret liquid staking-platform Volo Protocol udtalte onsdag, at en angriber tømte cirka 3,5 millioner dollars fra tre af deres vaults – det seneste DeFi-sikkerhedsbrud i en måned, der allerede har været præget af ni-cifrede udnyttelser.
Volo frøs alle vaults efter at have opdaget angrebet og underrettede Sui Foundation. De stjålne aktiver omfattede Wrapped Bitcoin (WBTC), guld-baseret XAUm og USD Coin (USDC). Holdet sagde, at de resterende 28 millioner dollars i samlet låst værdi på andre vaults ikke har samme angrebsvektor.
Inde i Volo Protocol-udnyttelsen
Volo beskrev bruddet som en sikkerhedshændelse i en erklæring, der blev delt på X tidligt onsdag. Kun tre vaults blev ramt, og holdet sagde, at ingen andre dele af protokollen har samme sårbarhed.
Projektet samarbejder med on-chain-efterforskere og partnere i økosystemet for at spore og genvinde de stjålne midler. En fuld redegørelse vil følge, når den interne gennemgang er afsluttet.
Volo blev oprindeligt lanceret som en dedikeret SUI liquid staking-platform og udstedte tokenet Volo Staked SUI (vSUI), før NAVI, Sui’s lending-protokol, opkøbte platformen i begyndelsen af 2024. De vault-produkter, der blev ramt i hændelsen, er bygget oven på denne staking-løsning og accepterer wrapped aktiver og stablecoins som sikkerhed for udbyttestrategier.
Volo forsøgte også at berolige brugerne og understregede, at ingen tab vil blive givet videre til dem.
“Volo er klar til at absorbere dette tab. Vi vil gøre vores bedste for ikke at pålægge vores brugere det,” skrev Volo-teamet på X.
Protokollen sagde, at der vil komme en plan for udbedring, når arbejdet med at kontrollere skaderne er afsluttet, og tilføjede, at genopbygning af fondens tillid afhænger af handlinger og ikke løfter.
Seneste slag i en barsk måned for DeFi
Volo’s tab følger en række store hændelser i april, der har rystet decentraliseret finans. Solana-baserede Drift Protocol mistede omkring 285 millioner dollars den 1. april, i hvad Elliptic har forbundet med en mistænkt nordkoreansk infiltrationsoperation.
Mindre end tre uger senere blev restaking-protokollen Kelp DAO drænet for 116.500 restaked ether (rsETH) til en værdi af cirka 292 millioner dollars via en kompromitteret LayerZero-bro. Ethereum DeFi har siden tabt mere end 17% af sin samlede værdi låst.
Balancer mistede også over 128 millioner dollars til en udnyttelse tidligere på året. En specifik wallet blev drænet, hvilket kostede en privat investor mere end 280 millioner dollars på tværs af Ethereum og Arbitrum.
Sui-økosystemet har tidligere oplevet lignende kriser. Angribere udnyttede Cetus-børsen for omkring 223 millioner dollars i maj 2025. En fejl i koncentrerede likviditetspuljer muliggjorde angrebet. Sui-validatorer og fællesskabet fik dog genvundet størstedelen af de stjålne midler. Den samlede værdi låst på Sui oversteg 2,6 milliarder dollars i slutningen af 2025. Den vækst har gjort angrebsfladen større for udnyttelser. Nu retter angribere især fokus mod vault-logik og afhængigheder til orakler.
Volo lover at dække tabet på 3,5 millioner dollars uden ekstern hjælp. Indskydere vil følge nøje med, når udbetalinger åbner igen. Redegørelsen bør tydeliggøre årsagen til bruddet. Det vil vise, om fejlen var isoleret eller systemisk. Resultaterne kan få indflydelse på tilliden til Sui DeFi-økosystemet.
