Sui头部交易所Cetus遭遇2.23亿美元攻击事件技术分析报告
5月22日,Sui生态领先去中心化交易所Cetus遭遇针对其集中流动性做市池的重大攻击,损失达2.23亿美元。5月26日,该平台发布了详细的事后分析报告。
漏洞根源剖析
Cetus在报告中指出,此次攻击源于智能合约中使用的开源第三方代码库存在漏洞。黑客利用该平台流动性管理系统的缺陷,通过操控用户向交易池添加和提取代币的机制实施攻击。
攻击者采用了闪电交换(Flash Swap)技术——这是一种允许用户在单笔交易中借出并立即归还代币的瞬时贷款机制。黑客通过该功能实施以下操作:扭曲资金池价格、使用少量代币注入虚假流动性,随后在多轮操作中提取大量真实代币,最终导致多个资金池被掏空。
技术细节披露
报告明确表示:"这与先前审计中发现的MAX_U64算术错误无关。根本问题在于左移溢出检查存在缺陷,错误地验证了超出安全限制的数值。"该漏洞导致系统未能正确限制超大数值的溢出风险。
Cetus团队在攻击发生10分钟内即监测到异常活动,并迅速暂停交易。同时联系Sui验证节点发起投票,成功冻结攻击者钱包,阻止了约1.62亿美元资产被转移。不过其余资金已通过跨链桥转至以太坊网络。
后续应对措施
该平台宣布将采取三项核心措施:重新审计智能合约、升级监控系统、推出用户资产恢复计划。目前正与生态合作伙伴共同制定流动性恢复方案,并呼吁Sui验证节点支持相关链上治理提案。
此次事件导致Sui网络总锁仓价值从21.3亿美元降至约19.2亿美元。平台代币CETUS价格暴跌40%,流动性危机还引发USDC短暂脱钩。
社区反响与进展
部分社区成员肯定验证节点的快速响应,但也有用户对钱包冻结功能提出质疑,认为这与去中心化原则相悖。Cetus已向黑客发出600万美元"白帽赏金"要约,承诺若归还资金可保留赏金并免于法律追究。