Từ lỗ hổng giao thức đến phép biện chứng phi tập trung: Giải thích chi tiết về sự cố Cetus. Liệu tính bảo mật của ngôn ngữ MOVE có bị lung lay không?

Gần đây, sàn giao dịch phi tập trung lớn nhất Sui Cetus đã bị tấn công và mất 220 triệu đô la, trong đó khoảng 60 triệu đô la đã được chuyển qua Chuỗi sang Ethereum. Một nhà nghiên cứu bảo mật từ Amber Group đã chia sẻ trên Twitter rằng sự cố này xuất phát từ lỗ hổng trong giao thức Cetus và không liên quan nhiều đến tính bảo mật mà ngôn ngữ MOVE tự hào sở hữu. Ngoài ra, giám đốc sản phẩm Adeniyi của Mysten Labs cũng tuyên bố rằng 160 triệu đô la của tin tặc đã bị tịch thu từ phía trình xác thực. Bài viết này sẽ đưa bạn qua toàn bộ sự việc và bản chất của phi tập trung.

( Nhà họ Thủy rơi nước mắt! DEX Cetus chính Sui mất hơn 260 triệu đô la Mỹ, bốc hơi 83% TVL )

Điểm yếu nằm ở vấn đề mã hóa của chính Cetus

Nhà nghiên cứu bảo mật @neeksec của Amber Group cho biết trên Twitter rằng anh đã tìm ra nguyên nhân chính gây ra sự cố Cetus. Ông chỉ ra: "Nguyên nhân gốc rễ của lỗ hổng bảo mật xuất phát từ việc chuyển đổi kiểu từ u256 sang u64 trong hàm get_amount_by_liquidity." Tuy nhiên, sau đó ông đã sửa lại và nói rằng vấn đề thực sự phải là "kiểm tra tràn của hàm get_delta_a đã không thành công".

Hàm get_delta_a tính toán số lượng token A cần thiết để thêm một lượng thanh khoản cụ thể trong một phạm vi giá nhất định. Lấy phép tính của Uniswap v3 làm ví dụ, thanh khoản trước tiên được nhân với delta phạm vi giá. Sản phẩm kết quả cần phải dịch trái 64 bit. Nhưng nếu thanh khoản quá lớn và tích vượt quá 192 bit, 64 bit trên cùng sẽ tràn và bị cắt bớt. Để ngăn chặn điều này, checked_shlw thực hiện kiểm tra tràn trước khi thực hiện chuyển đổi.

Vấn đề chính trong trường hợp này là việc kiểm tra tràn trong hàm checked_shlw có lỗi mã hóa và không ngăn chặn được các giá trị thanh khoản lớn không hợp lệ. Kẻ tấn công đã tạo ra một giá trị thanh khoản khiến checked_shlw trả về một giá trị nhỏ hơn. Trong hoạt động div_round tiếp theo, cơ chế làm tròn lên được sử dụng và div_round trả về 1, do đó số lượng token A cuối cùng cần thiết chỉ là 1.

Tác giả nói thêm:

Nói cách khác, kẻ tấn công đầu tiên tuyên bố cung cấp một lượng thanh khoản lượng lớn và tích của lượng thanh khoản này trong hàm vượt quá thiết lập của hệ thống, giống như máy tính chỉ có thể hiển thị mười chữ số đầu tiên, nhưng phép nhân cuối cùng lại cho ra một số có mười một chữ số. Nói chung, giá trị vượt quá giá trị đã đặt sẽ tràn và bị cắt bớt. Cần phải kiểm tra tràn trước khi thực hiện ca làm việc. Tuy nhiên, đã xảy ra lỗi trong phần kiểm tra tràn và kẻ tấn công đã khai thác lỗ hổng này để rút một lượng tiền lớn chỉ bằng một vài token. Do đó, vấn đề này không liên quan đến tính an toàn hướng đối tượng được tuyên bố bởi ngôn ngữ suiMOVE.

Sui để đóng băng tiền? Liệu nó có đại diện cho sự tập trung hóa không?

Sau vụ việc, Giám đốc sản phẩm của Mysten Labs, Adeniyi đã ngay lập tức tuyên bố trong một chương trình phát sóng trực tiếp rằng 160 triệu đô la trong số 220 triệu đô la bị đánh cắp đã bị đóng băng. Đây có thể là tin tốt cho Cetus, nhưng nó cũng đặt ra câu hỏi liệu động thái này có vi phạm nguyên tắc phi tập trung hay không? Tuy nhiên, trước tiên chúng ta phải làm rõ rằng phi tập trung không phải là vấn đề nhị phân đen và trắng. Vào những ngày đầu Ethereum, khoảng 14% lượng cung ứng đã bị hack, vì vậy một Đề án hard fork đã được bỏ phiếu thông qua để khôi phục lại token. Đây cũng là nguồn gốc của ETC Ethereum Classic.

Nhà nghiên cứu độc lập Haotian chỉ ra rằng tại thời điểm xảy ra sự cố, tin tặc đã chuyển một phần tài sản USDCqua Chuỗi sang Ethereum. Nhưng phần lớn tài sản vẫn còn nằm trên Chuỗi Sui . Về cách đóng băng, thực ra là do các trình xác thực mạng cùng nhau giả vờ như bị mù. Bất cứ khi nào một địa chỉ trong danh sách đen đề xuất một giao dịch, trình xác thực sẽ bỏ qua giao dịch đó. Do đó, theo hồ sơ trực tuyến, tin tặc vẫn nắm giữ những tài sản này nhưng bị quản thúc tại gia và không thể đóng gói các giao dịch vào Chuỗi. Đáp lại vấn đề này, Damien từ Bucket Protocol cũng cho biết mặc dù phương pháp này mang tính tập trung hơn nhưng ít nhất nó cũng được ghi vào quy tắc.

Yu Xian cũng cho biết nếu tin tặc muốn đi đến cùng thì họ vẫn nên suy nghĩ về cách vượt qua cơ chế đóng băng này. Giống như bạn có một thẻ thanh toán nhưng máy ATM từ chối phục vụ bạn.

Điều đáng chú ý hơn là Sui chính thức tuyên bố sẽ trả lại số tiền đóng băng vào quỹ thanh khoản, đây có thể là phần gây nhiều tranh cãi hơn. Xét cho cùng, nếu một chuỗi công khai hướng đối tượng có thể trực tiếp chuyển giao quyền sở hữu đối tượng thì điều này sẽ gây ra rất nhiều tranh cãi. Tuy nhiên, Kyrie của giao thức Typus cũng cho biết trong phần bình luận rằng việc chuyển tiền trực tiếp là không thể và tin tặc phải sẵn sàng trả lại. Để tham khảo, Cetus hiện đang đàm phán với tin tặc. Nếu tin tặc trả lại tài sản bị đánh cắp, hắn có thể giữ lại khoảng 6 triệu đô la ETH và Cetus sẽ không theo đuổi bất kỳ khiếu nại nào nữa.

Phi tập trung là một mục tiêu, không phải là điểm khởi đầu

Về vấn đề phi tập trung, Damien cho biết tài chính phi tập trung là tương đối và giá trị của DeFi không nằm ở "phi tập trung tuyệt đối", mà nằm ở việc tạo ra một lĩnh vực thử nghiệm tài chính mở, không cần xin phép. So với tài chính truyền thống, hình thức này mang đến cho nhiều người bối cảnh bình thường cơ hội tham gia, bất kể họ là người dùng hay nhà phát triển. Đó chính là điều thực sự thu hút chúng tôi. Việc tập trung hóa phù hợp có thể đảm bảo an toàn cho người dùng, nhà phát triển và nhà đầu tư. Ông cũng chỉ ra rằng nếu tất cả những gì bạn quan tâm là liệu số tiền bẩn đó có thể được chuyển ra ngoài hay không thì động cơ của bạn là đáng ngờ.

Phi tập trung là mục tiêu chứ không phải là điểm khởi đầu. Nếu chúng ta hy vọng rằng sẽ có nhiều tổ chức hơn tham gia thị trường trong tương lai, điều họ muốn là sự an toàn cho nguồn tiền của mình, thay vì chứng kiến ​​200 triệu đô la Mỹ bị rửa tiền và bất lực. Suy cho cùng, phi tập trung không có nghĩa là phá hủy Vạn Lý Trường Thành.

Về vấn đề phi tập trung, Raccoon cho rằng Sui không phải là Ethereum và gen cơ bản của nó bắt nguồn từ Libra của Meta, do đó các yêu cầu về mức độ phi tập trung là khác nhau. Ông chỉ ra rằng loại hành vi phối hợp này vẫn khác với "sự khôi phục" của cơ sở dữ liệu tập trung. Chỉ cần xử lý đúng cách, thực hiện theo dõi quan hệ công chúng và các thủ tục minh bạch thì cộng đồng vẫn có thể hiểu và chấp nhận. Sui có thể phi tập trung hơn BNB Chain, nhưng không cần phải đạt được mục tiêu dựa trên đức tin là đạt đến cấp độ "máy tính thế giới" hoàn chỉnh.

( Quan sát khủng hoảng sinh thái Sui/Cetus và giá tiền tệ: từ tổn thương nghiêm trọng đến khả năng phục hồi, 7 quan điểm chính cùng một lúc )

Gần đây, hệ sinh thái Sui đã có những biến động đáng kể, làm dấy lên mối quan ngại của ngành về tính bền vững và mô hình quản lý của nơi này. Nhà quan sát blockchain có tiếng Raccoon Chan đã công bố một bài phân tích độ sâu 7 điểm về Sui và giao thức bị hack Cetus, không chỉ liên quan đến sự tự tin và văn hóa sinh thái mà còn không né tránh quan điểm thực tế về giá tiền tệ.

Quản lý tài nguyên hàng đầu: Đội ngũ Sui có một bộ quản trị token

Raccoon Chan cho rằng đội ngũ Sui đã chứng minh được khả năng phân bổ nguồn lực chính xác kể từ sự kiện tạo mã token(TGE). Họ không tạo ra quá nhiều khích lệ, nhưng họ cũng không để hệ sinh thái rơi vào tình trạng đói kém. Binance, công ty cung cấp dịch vụ niêm yết tiền điện tử, không có trong đó cơ hội để thao túng, điều này cho thấy Sui có khả năng quản trị cân bằng hiếm có. So với Ethereum hoặc Solana, Sui có kết quả đàm phán tốt hơn trong việc quản lý stablecoin gốc và giao thức cầu nối Chuỗi chéo, phản ánh những lợi thế tương đối của nó.

Tác động sinh thái: sự mở rộng chậm lại và chiến lược trở nên bảo thủ

Mặc dù hoạt động token của Sui rất mạnh mẽ, nhưng các sự kiện tiêu cực gần đây đã gây ra thiệt hại đáng kể cho hệ sinh thái của nó. Các dự án ban đầu bắt đầu áp dụng các chiến lược bảo thủ, và các dự án mới tiềm năng bắt đầu chờ đợi hoặc thậm chí dừng giữa chừng mở rộng. Điều này sẽ ảnh hưởng đến số lượng và chất lượng của "chất xúc tác" trong toàn bộ hệ sinh thái, khiến cho sự hợp tác sáng tạo vốn có thể thực hiện được ban đầu trở nên ngoài tầm với.

( Nhà họ Thủy rơi nước mắt! DEX Cetus chính Sui mất hơn 260 triệu đô la Mỹ, bốc hơi 83% TVL )

Hệ sinh thái vẫn còn nguyên vẹn và vẫn có sự gắn kết

Mặc dù bị thương, Raccoon Chan nhấn mạnh rằng vết thương không gây tử vong. Ông đã đích thân đến thăm trại căn cứ của Sui và cho rằng khu vực địa phương này vẫn có bầu không khí tổ chức lành mạnh và không có dấu hiệu tham nhũng rõ ràng. Đặc biệt đối với nhiều nhà phát triển từ chuỗi công khai Move khác, Sui có thể là nơi trú ẩn an toàn duy nhất còn lại và một "rút lui tập thể kiểu Dunkirk" khó có thể xảy ra.

Món ăn chính vẫn là $ Sui và tác động đến giá của đồng tiền này là hạn chế

Theo góc độ giá tiền tệ, trọng tâm chính của Sui vẫn là $SUI bản thân nó, chứ không phải là dự án sinh thái của nó. Tác động của sự cố này đối với token token nằm trong phạm vi có thể kiểm soát được. Tương tự như mùa đông lạnh giá chưa từng có mà BSC từng trải qua, miễn là không có vấn đề gì với các nguồn lực cốt lõi (như Binance Launchpad) thì các yếu tố cơ bản của giá tiền tệ sẽ không bị ảnh hưởng nghiêm trọng.

Bài kiểm tra văn hóa sinh thái: Liệu cộng đồng có thể vượt qua thử thách?

Cộng đồng Sui đang có cơ hội xây dựng một nền văn hóa tương trợ lẫn nhau. Đối với các nạn nhân của vụ việc Cetus, một số người đề xuất noi theo Solana $BONK Mô hình gây quỹ cộng đồng và thả tiền airdrop không nhằm củng cố sự công nhận của cộng đồng thông qua việc phân phối tài sản và chuyển hướng giao thông. Tin tốt là vẫn chưa có nhóm dự án nào lợi dụng sự bất hạnh của người khác một cách trắng trợn, điều này cho thấy những nỗ lực xây dựng nhóm sinh thái thông thường đã mang lại kết quả.

Từ chối đầu cơ theo kiểu tống tiền: Nhà đầu tư và bên tham gia dự án nên tin tưởng nhau như thế nào?

Raccoon Chan chỉ trích một số người đã bắt cóc tâm lý của những nhà đầu cơ mua vào token trong thời gian thị trường sụp đổ, thậm chí còn coi họ là đồng phạm của hacker. Ông chủ trương các bên tham gia dự án nên thể hiện sự chân thành và minh bạch, đồng thời thiết lập cơ chế tin cậy lẫn nhau với các nhà đầu cơ, thay vì chỉ áp đặt trách nhiệm hoặc ràng buộc đạo đức cho người khác. Nói cách khác, giá cả tiền tệ ổn định và xây dựng sinh thái phải được thúc đẩy bởi sự hợp tác và cam kết, thay vì sự tống tiền tâm lý.

Phi tập trung hay phối hợp? Định vị biện chứng của Sui

Đối diện tranh cãi gần đây liên quan đến đóng băng tài sản , Raccoon cho rằng Sui không phải là Ethereum và nền tảng cơ bản của nó bắt nguồn từ Libra của Meta, do đó các yêu cầu về mức độ phi tập trung là khác nhau. Ông chỉ ra rằng loại hành vi phối hợp này vẫn khác với "sự khôi phục" của cơ sở dữ liệu tập trung. Chỉ cần xử lý đúng cách, thực hiện theo dõi quan hệ công chúng và các thủ tục minh bạch thì cộng đồng vẫn có thể hiểu và chấp nhận. Sui có thể phi tập trung hơn BNB Chain, nhưng không cần phải đạt được mục tiêu dựa trên đức tin là đạt đến cấp độ "máy tính thế giới" hoàn chỉnh.

Quan sát giá tiền điện tử: Khó có thể bùng nổ trong ngắn hạn và neo đã được thả

Cuối cùng, Raccoon bày tỏ sự lạc quan thận trọng về giá của $SUI. Ông không cho rằng sẽ có áp lực bán trên diện rộng, nhưng khó có thể thấy sự tăng mạnh trong ngắn hạn. Nguyên nhân là do tâm lý thị trường đã tập trung vào mức giá neo "khoảng 4 đô la". Phải mất thời gian để xóa bỏ nhận thức này, thay vì chỉ dựa vào những tin tức hoặc câu chuyện tích cực. Việc thiếu hụt nguồn mua mới thậm chí có thể dẫn đến một đợt bán tháo nhỏ để đáp ứng nhu cầu chi tiêu, từ đó có thể dẫn đến xu hướng giảm giá.