Sui-baserade protokollet för likvid staking, Volo Protocol, sa på onsdagen att en angripare tömde omkring 3,5 miljoner USD från tre av deras valv. Detta är det senaste säkerhetsintrånget inom DeFi denna månad, som redan har skakats av intrång på över hundra miljoner USD.
Volo frös alla valv efter att de upptäckte attacken och informerade Sui Foundation. De stulna tillgångarna var Wrapped Bitcoin (WBTC), guld-backade XAUm och USD Coin (USDC). Teamet sa att de kvarvarande 28 miljoner USD i totalt låst värde på andra valv inte har samma sårbarhet.
Inuti Volo Protocol-attacken
Volo kallade intrånget för en säkerhetsincident i ett uttalande på X tidigt på onsdagen. Endast tre valv påverkades, och teamet sa att ingen annan del av protokollet har samma sårbarhet.
Projektet samarbetar nu med on-chain-utredare och ekosystempartners för att spåra och återfå de stulna medlen. En fullständig rapport kommer att publiceras när den interna granskningen är klar.
Volo startade som en dedikerad SUI likvid staking-plattform och gav ut token Volo Staked SUI (vSUI). Sui-lendingprotokollet NAVI köpte sedan Volo i början av 2024. De valvprodukter som drabbades finns ovanpå stakinglagret och tar emot inslagna tillgångar och stablecoins som säkerhet till olika avkastningsstrategier.
Volo försöker också lugna användarna genom att säga att de inte kommer att föra över förlusterna på de.
“Volo är berett att ta förlusten. Vi ska göra vårt bästa för att inte överföra detta på våra användare”, sa Volo-teamet på X.
Protokollet meddelade att en åtgärdsplan kommer när de först har stoppat skadan. De sa också att det krävs handling för att återskapa användarnas förtroende, inte bara löften.
Senaste slaget i en tuff månad för DeFi
Volo förlorade efter en rad stora incidenter i april som har skadat decentraliserad finans. Solana-baserade Drift Protocol förlorade cirka 285 miljoner USD den 1 april, i vad Elliptic kallar en misstänkt nordkoreansk attack.
Mindre än tre veckor senare drabbades restaking-protokollet Kelp DAO av en attack där 116 500 restaked ether (rsETH) till värde av cirka 292 miljoner USD försvann via en komprometterad LayerZero-brygga. Efteråt har Ethereum DeFi tappat över 17 % av sitt totala låsta värde.
Balancer förlorade också över 128 miljoner USD till en attack tidigare i år. En målinriktad plånboksdränering kostade en enskild investerare över 280 miljoner USD på Ethereum och Arbitrum.
Sui-ekosystemet har varit med om liknande kriser förut. Angripare utnyttjade Cetus-börsen för cirka 223 miljoner USD i maj 2025. En brist i koncentrerade likviditetspooler gjorde attacken möjlig. Sui-validatorer och communityn återfick mesta delen av de stulna tillgångarna. Totalt låst värde på Sui översteg 2,6 miljarder USD i slutet av 2025. Denna tillväxt gav fler möjligheter för angripare. Nu riktar angripare ofta in sig på valvlogik och orakelberoenden.
Volo lovar att täcka förlusten på 3,5 miljoner USD utan hjälp utifrån. Insättare kommer att hålla koll när uttag öppnar igen. Den slutliga rapporten ska klargöra grundorsaken. Den ska visa om felet var avgränsat eller systematiskt. Resultaten kan påverka förtroendet för Sui DeFi-ekosystemet.
