SUIエコシステムのレジリエンスが顕著であり、安全事件後でも長期的な上昇の可能性を持つ

安全危機後の揺るぎない信仰:なぜSUIは依然として長期的な上昇の可能性を持つのか?

TL; 博士

  1. Cetusの脆弱性は、SUIやMoveの言語自体ではなく、契約の実施に起因します。

今回の攻撃は、Cetusプロトコルの算術関数における境界チェックの欠如に根本的に起因しており------マスクが広すぎることとシフトオーバーフローによる論理的な脆弱性で、SUIチェーンやMove言語のリソースセキュリティモデルとは無関係です。この脆弱性は「1行の境界チェック」で修正可能であり、エコシステム全体のコアセキュリティには影響を与えません。

  1. SUI メカニズムにおける"合理的な中央集権"が危機の中で価値を示す:

SUIはDPoS検証者のローテーションやブラックリスト凍結などの機能に軽度の中央集権的傾向を持っていますが、これはCETUS事件の対応において役立ちました:検証者は悪意のあるアドレスを迅速にDeny Listに同期させ、関連取引のパッキングを拒否し、1.6億ドル以上の資金を即座に凍結しました。これは本質的に積極的な"オンチェーンケインズ主義"であり、効果的なマクロ調整が経済システムに対して正の影響を与えています。

  1. 技術的なセキュリティに関する考察と提案:

数学と境界検証:すべての重要な算術演算(シフト、乗算、除算など)に上下限アサーションを導入し、極端な値のファジングと形式的検証を行います。また、監査と監視の強化が必要です:一般的なコード監査に加えて、専門の数学監査チームとリアルタイムのオンチェーン取引行動検出を追加し、異常な分割や大規模なフラッシュローンを早期にキャッチします;

  1. 資金保障メカニズムのまとめと提案:

Cetus イベントでは、SUI とプロジェクトチームが効率的に協力し、1.6 億ドル以上の資金を凍結し、100% の補償プランを推進しました。これは強力なオンチェーンの適応力とエコシステムへの責任感を示しています。SUI 財団はさらに 1000 万ドルの監査資金を追加し、安全の防御線を強化しました。今後は、オンチェーン追跡システム、コミュニティ共同構築の安全ツール、分散型保険などのメカニズムを推進し、資金保障体系を整えることができます。

  1. SUIエコシステムの多様な拡張

SUIは、2年足らずの間に「新しいチェーン」から「強いエコシステム」への飛躍を迅速に実現し、ステーブルコイン、DEX、インフラ、DePIN、ゲームなど多様なトラックを含む多様なエコシステムマップを構築しました。ステーブルコインの総規模は10億ドルを突破し、DeFiモジュールに堅実な流動性基盤を提供しています;TVLは世界第8位、取引活発度は世界第5位、非EVMネットワークでは第3位(BitcoinとSolanaに次ぐ)であり、強力なユーザー参加と資産蓄積能力を示しています。

1. 一度の攻撃によって引き起こされる連鎖反応

2025 年 5 月 22 日、SUI ネットワークに展開された主要な AMM プロトコル Cetus がハッキング攻撃を受け、攻撃者は「整数オーバーフロー問題」に関連する論理的な脆弱性を利用して精密な操作を行い、2 億ドル以上の資産が失われました。この事件は、今年これまでの DeFi 分野で最大規模のセキュリティ事故の一つであるだけでなく、SUI メインネットの稼働以来、最も破壊的なハッキング攻撃となりました。

DefiLlama のデータによると、SUI 全体の TVL は攻撃が発生した当日に一時 3.3 億ドル以上暴落し、Cetus プロトコル自身のロック金額は瞬時に 84% 蒸発し、3800 万ドルにまで落ち込みました。これに伴い、複数の SUI 上の人気トークン(Lofi、Sudeng、Squirtle など)がわずか 1 時間で 76% から 97% の暴落を引き起こし、市場は SUI の安全性とエコシステムの安定性に広範な関心を寄せることとなりました。

しかし、この衝撃波の後、SUIエコシステムは強力なレジリエンスと回復力を示しました。Cetus事件は短期的に信頼の波動をもたらしましたが、オンチェーン資金とユーザーのアクティブ度は持続的な衰退に見舞われることはなく、むしろエコシステム全体が安全性、インフラの構築、プロジェクトの質への関心を大幅に高めることになりました。

Klein Labs は今回の攻撃事件の原因、SUI のノードコンセンサス機構、MOVE 言語の安全性、および SUI のエコシステムの発展を中心に、まだ発展の初期段階にあるこのパブリックチェーンの現在のエコロジー構造を整理し、将来の発展の可能性について議論します。

2. Cetusの攻撃の原因の分析

2.1 攻撃実現プロセス

慢雾チームによるCetus攻撃事件の技術分析に基づくと、ハッカーはプロトコル内の重要な算術オーバーフローの脆弱性を利用し、フラッシュローン、正確な価格操作、および契約の欠陥を駆使して、短時間で2億ドル以上のデジタル資産を盗みました。攻撃の流れは大きく以下の三つの段階に分けられます。

①フラッシュローンを発起し、価格を操作する

ハッカーはまず、最大スリッページを利用して100億haSUIのフラッシュローンを行い、大量の資金を借り出し、価格操作を行った。

フラッシュローンは、ユーザーが同じトランザクション内で資金を借り入れ、返済することを可能にし、手数料のみを支払えば良い特性を持つ。高いレバレッジ、低リスク、低コストという特徴を備えている。ハッカーはこのメカニズムを利用して、短時間で市場価格を引き下げ、極めて狭い範囲内で正確に制御した。

その後、攻撃者は非常に狭い流動性ポジションを作成する準備をし、価格範囲を最低入札価格300,000と最高価格300,200の間に正確に設定し、その価格幅はわずか1.00496621%です。

上記の方法により、ハッカーは十分な数のトークンと巨額の流動性を利用して、haSUIの価格を成功裏に操作しました。その後、彼らは実際の価値のないいくつかのトークンを対象に操作を行いました。

(2)流動性を追加

攻撃者は狭い流動性ポジションを作成し、流動性を追加すると主張しますが、checked_shlw関数に脆弱性が存在するため、最終的に1トークンしか受け取れません。

本質的には二つの理由によるものです:

1.マスク設定が広すぎる:これは非常に大きな流動性追加上限に相当し、契約内でのユーザー入力の検証が形だけになってしまいます。ハッカーは異常なパラメータを設定し、入力が常にその上限を下回るように構築することで、オーバーフロー検出を回避しました。

2.データのオーバーフローが切り捨てられました:数値 n に対して n << 64 のシフト操作を実行した際、シフトが uint256 データ型の有効ビット幅(256ビット)を超えたため、データが切り捨てられました。高位のオーバーフロー部分は自動的に捨てられ、計算結果が予想よりも大幅に低くなり、システムは必要な haSUI の数量を過小評価しました。最終的な計算結果は約 1 よりも小さくなりましたが、繰り上げ計算のため、最終的に 1 となります。つまり、ハッカーは 1 トークンを追加するだけで大きな流動性を引き出すことができます。

③流動性を撤回する

フラッシュローンの返済を行い、大きな利益を保持します。最終的に、複数の流動性プールから総額数億ドルに達するトークン資産を引き出します。

資金損失状況が深刻で、攻撃により以下の資産が盗まれました:

  • 1,290万SUI(約5,400万ドル)

  • $60,000,000 USDCの

  • 490万ドルのHaedal Staked SUI

  • 1,950万ドルのトイレ

  • その他のトークンは HIPPO と LOFI が 75--80% 下落し、流動性が枯渇しています。

! 安全保障危機後の強い信念:なぜSUIはまだ長期的な成長の可能性を持っているのか?

2.2 この脆弱性の原因と特性

Cetus のこの脆弱性には3つの特徴があります:

  1. 修正コストは非常に低い:一方で、Cetus事件の根本的な原因はCetus数学ライブラリの中にある不具合であり、プロトコルの価格メカニズムの誤りや基盤アーキテクチャの誤りではありません。もう一方では、脆弱性はCetus自体に限られ、SUIのコードとは無関係です。脆弱性の根源は一つの境界条件の判断にあり、2行のコードを修正するだけでリスクを完全に排除できます;修正が完了した後は即座にメインネットにデプロイでき、以後の契約ロジックを完備し、当該脆弱性を防ぎます。

  2. 隠蔽性が高い:契約は2年間安定して稼働し、ゼロの故障を記録しています。Cetus Protocolは複数回の監査を受けましたが、脆弱性は発見されませんでした。主な理由は、数学計算に使用されるInteger_Mateライブラリが監査の範囲に含まれていなかったためです。

ハッカーは極端な値を利用して取引範囲を正確に構築し、非常に高い流動性を持つ極めて稀なシナリオを構築することで異常なロジックを引き起こします。これは、この種の問題が通常のテストでは発見しにくいことを示しています。この種の問題は人々の視野の盲点に存在することが多く、長い間潜伏してから発見されます。

  1. Moveだけの問題ではありません:

Moveは資源の安全性と型チェックにおいて多くのスマートコントラクト言語より優れており、一般的な状況下での整数オーバーフロー問題に対するネイティブ検出機能が組み込まれています。今回のオーバーフローは、流動性を追加する際に必要なトークンの数を計算する際に、まず誤った値を上限チェックに使用し、シフト演算を通常の乗算の代わりに使用したために発生しました。通常の加減乗除の演算の場合、Moveでは自動的にオーバーフローを検査するため、このような上位ビットの切り捨て問題は発生しません。

類似の脆弱性は他の言語(例えばSolidity、Rust)でも発生しており、整数オーバーフロー保護が不足しているため、より容易に悪用されることがある。Solidityのバージョン更新前は、オーバーフロー検出が非常に弱かった。歴史的に加算オーバーフロー、減算オーバーフロー、乗算オーバーフローなどが発生しており、直接の原因は計算結果が範囲を超えたことにある。例えば、Solidity言語のBECおよびSMTという2つのスマートコントラクトの脆弱性は、巧妙に構築されたパラメータを通じてコントラクト内の検出文を回避し、過剰送金を実現する攻撃を行った。

3. SUIのコンセンサスメカニズム

3.1 SUI共識メカニズムの概要

概要:

SUIは委任型プルーフ・オブ・ステーク(DeleGated Proof of Stake、略してDPoS))フレームワークを採用しています。DPoSメカニズムは取引スループットを向上させることができますが、PoW(プルーフ・オブ・ワーク)のように極めて高い分散化レベルを提供することはできません。そのため、SUIの分散化レベルは相対的に低く、ガバナンスのハードルは相対的に高いため、一般のユーザーがネットワークのガバナンスに直接影響を与えることは難しいです。

  • 平均バリデーター数:106

  • 平均エポックサイクル:24時間

メカニズムプロセス:

  • 権益委託:一般ユーザーは自らノードを運営する必要はなく、SUI をステーキングして候補のバリデーターに委託するだけで、ネットワークのセキュリティ保証と報酬分配に参加できます。このメカニズムは、一般ユーザーの参加ハードルを下げ、信頼できるバリデーターを「雇う」ことでネットワークのコンセンサスに参加できるようにします。これも DPoS が従来の PoS に対する大きな利点の一つです。

  • 代表的なブロック生成ラウンド:少数の選ばれた検証者が固定またはランダムな順序でブロックを生成し、確認速度を向上させ、TPSを向上させました。

  • ダイナミック選挙:各投票サイクル終了後、投票の重み付けに基づいてダイナミックにローテーションし、Validator 集合を再選挙して、ノードの活力、一貫した利益、そして分散化を保証します。

DPoSの利点:

  • 高効率:出ブロックノードの数が制御可能なため、ネットワークはミリ秒単位で確認を完了し、高TPSの要求を満たします。

  • 低コスト:コンセンサスに参加するノードが少なく、情報の同期と署名の集約に必要なネットワーク帯域幅と計算リソースが大幅に削減されます。その結果、ハードウェアと運用コストが低下し、計算能力の要求も低下し、コストがより低くなります。最終的に、より低いユーザー手数料が実現されました。

  • 高い安全性:ステーキングと委託メカニズムにより、攻撃コストとリスクが同時に増大します;オンチェーンの没収メカニズムと組み合わせることで、悪意のある行動を効果的に抑制します。

同時に、SUIのコンセンサスメカニズムでは、BFT(ビザンチンフォールトトレランス)に基づくアルゴリズムが採用されており、検証者のうち三分の二以上の投票が一致しなければ、取引を確認することができません。このメカニズムは、少数のノードが悪意を持っても、ネットワークが安全かつ効率的に運営されることを保証します。いかなるアップグレードや重要な決定を行う際にも、三分の二以上の投票が必要であり、実施されることになります。

本質的に言えば、DPoSは実際には不可能な三角形の一種の折衷案であり、去中心化と効率の折衷がなされています。DPoSは安全性-去中心化-拡張性の"不可能な三角形"の中で、より高い性能を得るためにアクティブなブロック生成ノードの数を減らすことを選択しており、純粋なPoSやPoWに比べて完全な去中心化をある程度放棄していますが、ネットワークのスループットと取引速度を大幅に向上させています。

! 安全保障危機後の強い信念:なぜSUIはまだ長期的な成長の可能性を持っているのか?

3.2今回の攻撃でのSUIの

SUI-5.27%
原文表示
このページには第三者のコンテンツが含まれている場合があり、情報提供のみを目的としております(表明・保証をするものではありません)。Gateによる見解の支持や、金融・専門的な助言とみなされるべきものではありません。詳細については免責事項をご覧ください。
  • 報酬
  • 3
  • 共有
コメント
0/400
AlphaLeakervip
· 6時間前
攻撃はsuiの責任ではなく、コードがうまく書けなかっただけだ。
原文表示返信0
NFTArtisanHQvip
· 08-03 04:20
うーん... セトゥスのこと?正直言って、suiの弁証法的進化における小さな hiccup だね。ダダのデュシャンのレディメイドの雰囲気を強く感じる - 混沌が革新を生む、まじで。
原文表示返信0
HodlVeteranvip
· 08-03 04:19
年齢を重ねているのに車業界で何を競っているのか、SUIはひっくり返ったらひっくり返ったで、修理してまた走ればいいじゃない。
原文表示返信0
いつでもどこでも暗号資産取引
qrCode
スキャンしてGateアプリをダウンロード
コミュニティ
日本語
  • 简体中文
  • English
  • Tiếng Việt
  • 繁體中文
  • Español
  • Русский
  • Français (Afrique)
  • Português (Portugal)
  • Bahasa Indonesia
  • 日本語
  • بالعربية
  • Українська
  • Português (Brasil)