攻击者利用Cetus Protocol的自动化市场做市逻辑中的关键溢出缺陷，导致用户损失2.23亿美元，Dedaub在事后分析中表示。
“这一事件代表了近期历史上最重大的DeFi攻击之一，源于‘溢出’保护中的一个微妙但关键的缺陷，”区块链安全公司Dedaub在其报告中指出。
Dedaub解释称，该缺陷涉及Cetus的自动化市场做市商使用的数学运算中的“溢出”，其中一个错误的条件未能正确处理大型数字输入的最高有效位，并“未能产生预期的结果”。
系统没有拒绝超大的数值，而是将其截断，导致输出看起来远小于实际应有的值。这使得攻击者仅存入一个代币，而协议错误地将其记入了一个巨大的流动性头寸。随后，他们利用该头寸从流动性池中提取了大量真实资产。
根据Dedaub的说法，区块链安全公司Ottersec在2023年初对该协议的代码库进行审计时曾标记过类似的漏洞，当时它被部署在Aptos上。然而，在代码后来移植到Sui网络后，根本问题依然存在。尽管开发者尝试实施保护措施，但溢出检查存在缺陷，导致相同类型的攻击得以悄然发生。
“这一事件表明，DeFi中的边缘案例不能被忽视，”Dedaub警告道，并补充说，去中心化金融中的复杂数学需要仔细审查和测试。它敦促开发者手动验证溢出保护，特别是在使用大数字或高级数学时。
Cetus攻击引发抛售
Cetus是SUI网络上的领先DEX，于5月22日凌晨遭到黑客攻击，触发了迄今为止Sui生态系统中最大的一次损失。初步调查声称事件源于“预言机漏洞”。
此次攻击导致各大流动性池损失超过2.23亿美元，引发相关代币的广泛抛售，包括SUI和CETUS，这些代币在攻击发生后的几个小时内下跌超过40%。本网络本土的Memecoins和市值较小的代币损失更为严重，有些代币暴跌超过90%。
作为回应，Sui基金会协调验证者冻结了约1.63亿美元的被盗资金。Cetus还宣布将提供500万美元的悬赏，以获取有关责任人的信息。
