2025 年 5 月 22 日，Cetus 经历了针对 CLMM 矿池的复杂智能合约攻击。立即采取行动减轻影响，本报告旨在分享透明的时间表、根本原因分析、资金状况以及我们共同前进的后续步骤。
事件时间表
- 10:30:50 UTC – 漏洞通过异常交易开始。
- 10:40:00 UTC – 监控系统检测到矿池行为异常。
- 10:53:00 UTC – 由 Cetus 团队确定的攻击源并升级至 Sui 生态系统成员。
- 10:57:47 UTC – 核心 CLMM 池被禁用以防止进一步损失。
- 11:20:00 UTC – 所有相关智能合约均已在全球范围内禁用。
- 12:50:00 UTC – Sui 验证者开始投票拒绝为攻击者地址签名的交易提供服务，在投票数量超过权益阈值的 33% 后，验证者有效地“冻结”了这些地址。
- 18:04:07 UTC – 链上协商消息发送给攻击者。
- 18:15:28 UTC – 漏洞合约已修补并升级（尚未重新启动）。
漏洞利用分析
攻击者利用了 CLMM 合约中源自“inter_mate”开源库中的缺陷的漏洞。攻击按照以下流程进行：
一个。攻击者启动了“flash_swap”来暂时抑制矿池价格。
b.在较高的价格变动范围内建仓。
c.利用“add_liquidity”逻辑中不正确的溢出检查，以最少的代币注入人为的大流动性值。
d.进行多轮“remove_liquidity”以耗尽代币储备。
e.使用未经检查的计算（“overflowing_sub”、“get_liquidity_from_a”）精心设计的流动性值重复该过程。
根本原因：
- 该缺陷源于对 CLMM 合约所依赖的 integer-mate 开源库中左移语义的误解。在其“checked_shlw”方法中，实际检查应验证输入值是否≤2192，而利用版本中的函数检查是否≤2256，这导致溢出检查错误。这是最近剥削的唯一真正原因。
- 利用上述缺陷，通过操纵矿池的报价和流动性机制，攻击者在多次利用迭代中成功耗尽了很大一部分资产。
需要澄清的是，最近社交媒体上有一些人错误地认为该漏洞是由之前的审计报告中标记的MAX_U64检查的算术错误引起的，这误导了许多不明真相的人。我们特此声明，该问题与近期的漏洞无关。该问题本身只是一个信息级的优化建议，只会在极端情况下导致txn恢复，并且该问题在之前的版本中已经得到优化和修复。
攻击者地址（Sui）：
0xe28b50cef1d633ea43d3296a3f6b67ff0312a5f1a99f0af753c85b8b5de8ff06
资金现状
为了保护整个生态系统的最大利益，在广大 Sui 验证者的支持下，有两个攻击者的 Sui 钱包地址被紧急封锁。被冻结的钱包包含被盗资金的主要部分：
- 攻击者 Sui 钱包 1（冻结）：
0xcd8962dad278d8b50fa0f9eb0186bfa4cbdecc6d59377214c88d0286a0ac9562 - 攻击者 Sui 钱包 2（冻结）：
0xe28b50cef1d633ea43d3296a3f6b67ff0312a5f1a99f0af753c85b8b5de8ff06
其余被盗资金均被黑客转换并桥接为 ETH，目前存储在以下两个以太坊钱包中：
- 攻击者以太坊钱包1：
0x0251536bfcf144b88e1afa8fe60184ffdb4caf16 - 攻击者以太坊钱包2：
0x89012a55cd6b88e407c9d4ae9b3425f55924919b
后续措施
合同审查和安全加固
我们正在与 Sui 安全团队和多个审计合作伙伴合作，重新审查升级后的合同并进行跨方审计。只有在完全验证之后，我们才会逐步重新激活 CLMM 池和服务。
我们计划立即进行额外审计，并定期发布基于 TVL 的审计报告。我们还将继续加强链上监控，改进风险管理配置和资产流的受控速率限制。
唱片修复
我们正在积极与主要生态合作伙伴合作，为受影响的池子和LP制定恢复计划，旨在尽快恢复受影响池子的流动性提取和所有功能。
以挽回用户所有损失为最终目标，我们诚挚呼吁所有 Sui 验证人支持我们近期发起的链上投票。此次投票将使用户能够快速收回大部分资产。有你们的支持，我们才能尽快向前推进，挽回用户的损失，恢复社区的信心。
法律和谈判努力
在法律和执法程序正在进行的同时，我们还向威胁行为者提供了白帽机会。很快就会向黑客发送最终通知。任何更新都将透明地传达给社区。
最后的话
我们深深感谢我们的用户、Sui 基金会和生态系统合作伙伴的快速响应和大力支持，使我们能够迅速冻结超过 1.6 亿美元的资金并向受影响各方传播关键信息。与此同时，我们认识到全面复苏的道路仍在继续，我们正在积极采取措施加快进展并最终完成这一进程。
自推出之日起，Cetus 一直是 Sui 上在智能合约审计和系统保障方面投入最多的 DeFi 团队之一。不幸的是，现实并不总是如我们所愿。对底层合约和依赖的开源库的多轮审核——再加上生态系统开发人员的广泛和成功使用——让我们感觉我们已经做得足够多了。事后看来，我们意识到我们放松了警惕。这个惨痛的教训告诉我们：我们必须做得更多。
展望未来，我们将通过以下方式加强安全态势并加强风险控制：
- 利用 Blockaid 等工具进行实时监控，以检测和响应威胁和漏洞
2、完善风险管理配置，控制资产流向限速 - 测试覆盖率更高的智能合约源码
- 公开报告我们的代码覆盖率指标
- 在一般发布之前、主要代码更改之后以及达到关键 TVL 里程碑时进行审核
- 增强的白帽漏洞赏金计划，奖励有价值的漏洞报告
其中许多措施已经到位，但我们将进一步采取这些措施。
此外，我们认识到，保护 DeFi 协议不能仅仅依靠我们团队和审计合作伙伴的努力。它需要整个生态系统的力量——从开发人员到活跃的白帽贡献者——共同努力来监控、防御和改进。我们希望团结所有可用力量，为整个生态系统建设和维护可持续、有弹性、能够经受时间考验的基础设施。
我们衷心感谢在这个充满挑战的时期给予我们的坚定支持。我们将共同重建一个更强大、更安全的 Cetus。
Cetus Protocol
扫一扫
836
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
