衝撃的なCetus Exploit：あなたが信じない偉大なトークン強盗！

ああ、デジタル時代の楽しい混乱！最も不幸なイベントの転換では、失われた靴下の居場所と同じくらい未知の脆弱性が、システムのスマートコントラクトロジック内で発掘され、かなり大きな資金の損失をもたらしました。しかし、恐れないでください！ Valiant Cetusチームとこれまでにない微妙なSUIの検証官は、輝く鎧の騎士団のように、損傷を封じ込め、盗まれた資産のかなりの部分を凍結するように行動に巻き込まれました。 🦸‍♂ 🦸‍♂️

攻撃がどのように展開されたか

私たちの悲惨な物語は、フラッシュ交換と疑わしい道徳的なコンパス以外の何物でも武装していない大胆な攻撃者から始まり、Clmmプール内のトークンの価格を瞬間的に抑制することができました。価格を巧みに引き下げることで、悪役はより高いティック範囲内で流動性ポジションを開きました。壮大な強盗の舞台を設定すると考えています。 🎭

しかし、真の脆弱性、親愛なる読者は、ビクトリア朝の大邸宅の隠されたトラップドアのように、契約の論理を深く描きました。攻撃者は、流動性の追加中にスマートコントラクトがオーバーフローをチェックした方法に重大な欠陥を悪用しました。入力値を細心の司書のケアで検証する代わりに、契約により、攻撃者は最小限のトークン堆積物で異常に大量の偽の流動性を注入することができました。かなり見落としませんか？

彼らの位置を膨らませた後、私たちのcraftな拮抗薬はプールから実際のトークン保護区を繰り返し吸い上げ、スイスの時計職人の精度でこのループを実行しました。資産は消え去り、未確認の計算とオーバーフローの動作のエコー以外に何も残しませんでした。 🏴‍☠ 🏴‍☠️

根本原因：図書館の誤算

この大失敗の中心には、CLMM契約で使用されているオープンソースライブラリの微妙でありながら重大なエラーがありました。問題は、CHECKED_SHLWメソッドで左シフト操作をどのようにチェックするかについての誤解に起因しています。適切な境界（2 ¹⁹²）に対して検証する代わりに、欠陥のある実装により、最大2 ²⁵⁶へのシフトが可能になりました。「おっと、もう一度やりました！」の古典的なケース

この誤解は、コードがマイナーに見えますが、攻撃者の計算戦略と組み合わせると、壊滅的な結果の扉を開きました。謙虚さのレッスン、たとえあったとしても！

監査が捕まえたものではありません

MAX_U64の算術の問題にフラグを立てた古い監査報告書に関して、コミュニティで混乱が支配されました。 Cetusは、明確な瞬間に、この以前に特定された問題が搾取とは無関係であることを明らかにしました。 MAX_U64チェックは、崩壊しつつある壁に新しい塗料のコートを提案することに似た、単なるマイナーな最適化の推奨事項でした。 🏚🏚️

今何が起こるか

Cetusチームは、活動を強調して、影響を受けるすべてのプールを迅速に無効にし、脆弱な契約にパッチを当てました。 SUIバリーターコミュニティと協力して、攻撃者のブロックチェーンへのアクセスを凍結し、さらなる資産の動きを防ぐために、緊急ガバナンス手順を開始しました。確かに称賛に値する努力！

現在、焦点は、すべての契約の包括的な再監査、リアルタイムの監視ツールの改善、および影響を受けるユーザーを補償するための回復計画の設計に移行します。チームはまた、合法的なチャネルを追求しており、攻撃者にホワイトハットの償還オファーを発行しています。あなたが私に尋ねたら、かなり寛大なジェスチャー！ 🤔

難しい教訓 – そしてより強い未来

大規模な以前の監査にもかかわらず、Cetusは、十分な精査なしに広く使用されているオープンソースコンポーネントにあまりにも多くの自信を置いていることを認めています。この事件は、継続的な警戒、階層化されたセキュリティ、および生態系全体のコラボレーションの必要性を強化しました。確かに難しいレッスン！

今後、Cetusはより厳格な監査プロトコル、より高いテスト基準、およびより透明な報告を採用します。目標は、ユーザーの信頼を回復するだけでなく、Defiインフラストラクチャの回復力の新しい基準を設定することです。高貴な野望、あなたは同意しませんか？

このエクスプロイトは、監査されたシステムでさえ隠されたリスクを抱くことができるというリマインダーとして機能します。しかし、迅速な行動、透明性、統一されたコミュニティ、回復、そして進化は可能であるだけでなく、すでに進行中です。 🌱

ソース

2025-05-27 19:44