Fe de firmeza tras la crisis de seguridad: ¿por qué SUI sigue teniendo potencial de crecimiento a largo plazo?
TL;DR
La vulnerabilidad de Cetus proviene de la implementación del contrato, y no del SUI o del lenguaje Move en sí:
El ataque radica principalmente en la falta de verificación de límites en las funciones aritméticas del protocolo Cetus------una vulnerabilidad lógica causada por una máscara demasiado amplia y un desbordamiento de desplazamiento, que no está relacionada con el modelo de seguridad de recursos de la cadena SUI o el lenguaje Move. La vulnerabilidad puede ser corregida con "una verificación de límites en una línea" y no afecta la seguridad central de todo el ecosistema.
El valor de la "centralización razonable" en el mecanismo SUI se manifiesta en tiempos de crisis:
Aunque SUI presenta una ligera tendencia a la centralización al adoptar funciones como rondas de validadores DPoS y congelación de listas negras, esto resultó ser útil en la respuesta al evento CETUS: los validadores sincronizaron rápidamente las direcciones maliciosas a la Deny List, rechazando empaquetar transacciones relacionadas y logrando la congelación instantánea de más de 160 millones de dólares en fondos. Esto es esencialmente una forma activa de "keynesianismo en cadena", donde un control macroeconómico efectivo tiene un efecto positivo en el sistema económico.
Reflexiones y recomendaciones sobre la seguridad técnica:
Matemáticas y verificación de límites: introducir afirmaciones de límites superiores e inferiores para todas las operaciones aritméticas clave (como desplazamiento, multiplicación y división), y realizar fuzzing de valores extremos y verificación formal. Además, es necesario mejorar la auditoría y la supervisión: además de las auditorías de código generales, se debe aumentar el equipo de auditoría matemática profesional y la detección en tiempo real del comportamiento de transacciones en la cadena, para detectar a tiempo divisiones anormales o grandes préstamos relámpago.
Resumen y recomendaciones sobre el mecanismo de garantía de fondos:
En el evento de Cetus, SUI colaboró de manera eficiente con el equipo del proyecto, logrando congelar más de 160 millones de dólares en fondos y promoviendo un plan de compensación del 100%, lo que demuestra una fuerte capacidad de respuesta en la cadena y un sentido de responsabilidad ecológica. La Fundación SUI también añadió 10 millones de dólares en fondos de auditoría para fortalecer la línea de defensa de seguridad. En el futuro, se pueden avanzar aún más los sistemas de seguimiento en la cadena, las herramientas de seguridad construidas por la comunidad, los mecanismos de seguros descentralizados, entre otros, para mejorar el sistema de protección de fondos.
La expansión diversificada del ecosistema SUI
SUI ha logrado rápidamente una transición de "nueva cadena" a "ecosistema fuerte" en menos de dos años, construyendo un mapa ecológico diversificado que abarca múltiples vías como stablecoins, DEX, infraestructura, DePIN y juegos. La escala total de stablecoins supera los 1,000 millones de dólares, proporcionando una sólida base de liquidez para los módulos DeFi; el TVL ocupa el octavo lugar a nivel mundial, con la quinta mayor actividad de transacciones a nivel global, y el tercer lugar entre las redes no EVM (solo detrás de Bitcoin y Solana), lo que demuestra una fuerte participación de los usuarios y capacidad de sedimentación de activos.
1. Una reacción en cadena provocada por un ataque.
El 22 de mayo de 2025, el principal protocolo AMM Cetus, desplegado en la red SUI, sufrió un ataque de hackers. Los atacantes aprovecharon una vulnerabilidad lógica relacionada con el "problema de desbordamiento de enteros" para llevar a cabo un control preciso, lo que resultó en pérdidas de más de 200 millones de dólares en activos. Este incidente no solo es uno de los accidentes de seguridad más grandes en el campo de DeFi hasta ahora este año, sino que también se ha convertido en el ataque de hackers más destructivo desde el lanzamiento de la red principal SUI.
Según los datos de DefiLlama, el TVL total de SUI en la cadena cayó más de 330 millones de dólares el día del ataque, y el monto bloqueado del protocolo Cetus se evaporó instantáneamente en un 84%, cayendo a 38 millones de dólares. Debido a esto, varios tokens populares en SUI (incluidos Lofi, Sudeng, Squirtle, entre otros) cayeron entre un 76% y un 97% en solo una hora, lo que generó una amplia preocupación en el mercado sobre la seguridad de SUI y la estabilidad de su ecosistema.
Pero después de esta ola de choque, el ecosistema SUI ha mostrado una gran resiliencia y capacidad de recuperación. A pesar de que el evento Cetus ha generado fluctuaciones en la confianza a corto plazo, los fondos en la cadena y la actividad de los usuarios no han sufrido una disminución continua, sino que han impulsado un aumento significativo en la atención hacia la seguridad, la construcción de infraestructura y la calidad de los proyectos en todo el ecosistema.
Klein Labs se centrará en las causas de este ataque, el mecanismo de consenso de nodos de SUI, la seguridad del lenguaje MOVE y el desarrollo ecológico de SUI, para analizar la actual estructura ecológica de esta cadena pública que aún se encuentra en una etapa temprana de desarrollo y discutir su potencial de desarrollo futuro.
2. Análisis de las causas del ataque del evento Cetus
2.1 Proceso de implementación del ataque
Según el análisis técnico del equipo Slow Mist sobre el ataque a Cetus, los hackers aprovecharon con éxito una vulnerabilidad crítica de desbordamiento aritmético en el protocolo, utilizando préstamos relámpago, manipulación de precios precisa y defectos en el contrato, robando más de 200 millones de dólares en activos digitales en un corto período de tiempo. La ruta del ataque se puede dividir aproximadamente en las siguientes tres etapas:
①Iniciar un préstamo relámpago, manipular precios
Los hackers primero aprovecharon el deslizamiento máximo para realizar un intercambio relámpago de 100 mil millones de haSUI, prestando grandes cantidades de dinero para manipular los precios.
El préstamo relámpago permite a los usuarios pedir prestado y devolver fondos en una sola transacción, solo pagando una tarifa, con características de alta palanca, bajo riesgo y bajo costo. Los hackers aprovecharon este mecanismo para reducir el precio del mercado en poco tiempo y lo controlaron de manera precisa en un rango muy estrecho.
Luego, el atacante se prepara para crear una posición de liquidez extremadamente estrecha, estableciendo el rango de precios exactamente entre la oferta más baja de 300,000 y la más alta de 300,200, con un ancho de precio de solo 1.00496621%.
A través de la anterior manera, los hackers utilizaron una cantidad suficiente de tokens y una gran liquidez para manipular con éxito el precio de haSUI. Luego, también manipularon varios tokens sin valor real.
②Agregar liquidez
El atacante crea posiciones de liquidez estrechas, declara que añade liquidez, pero debido a la vulnerabilidad de la función checked_shlw, solo recibe 1 token al final.
Esencialmente se debe a dos razones:
Configuración de la máscara demasiado amplia: equivale a un límite de adición de liquidez extremadamente alto, lo que hace que la verificación de la entrada del usuario en el contrato sea inútil. Los hackers eluden la detección de desbordamiento configurando parámetros anómalos, construyendo entradas que siempre son menores que ese límite.
Desbordamiento de datos truncado: Al realizar la operación de desplazamiento n << 64 en el valor numérico n, se produjo un truncamiento de datos debido a que el desplazamiento superó el ancho de bits efectivo del tipo de datos uint256 (256 bits). La parte de desbordamiento más alta se descartó automáticamente, lo que llevó a que el resultado de la operación estuviera muy por debajo de lo esperado, lo que hizo que el sistema subestimara la cantidad de haSUI necesaria para el intercambio. El resultado final del cálculo fue aproximadamente menor que 1, pero debido a que se redondeó hacia arriba, el resultado final fue igual a 1, lo que significa que el hacker solo necesitaba agregar 1 token para poder intercambiar una gran liquidez.
③ retirar liquidez
Hacer el reembolso de un préstamo relámpago, conservando enormes ganancias. Finalmente, retirar activos de tokens por un valor total de cientos de millones de dólares de múltiples pools de liquidez.
La situación de pérdida de fondos es grave, el ataque ha llevado al robo de los siguientes activos:
12.9 millones de SUI (aproximadamente 54 millones de dólares)
6000 millones de dólares USDC
490万美元 Haedal Staked SUI
1950万美元 TOILET
Otros tokens como HIPPO y LOFI cayeron un 75--80%, la liquidez se agotó
2.2 Causas y características de esta vulnerabilidad
La vulnerabilidad de Cetus tiene tres características:
Costo de reparación extremadamente bajo: por un lado, la causa fundamental del evento Cetus es un descuido en la biblioteca matemática de Cetus, no un error en el mecanismo de precios del protocolo ni un error en la arquitectura subyacente. Por otro lado, la vulnerabilidad se limita únicamente a Cetus y no tiene relación con el código de SUI. La raíz de la vulnerabilidad se encuentra en una condición límite que solo requiere modificar dos líneas de código para eliminar completamente el riesgo; una vez completada la reparación, se puede desplegar de inmediato en la red principal, asegurando que la lógica de los contratos futuros esté completa y eliminando dicha vulnerabilidad.
Alta ocultación: el contrato ha estado funcionando sin fallos durante dos años, el Cetus Protocol ha realizado múltiples auditorías, pero no se han encontrado vulnerabilidades, siendo la razón principal que la biblioteca Integer_Mate utilizada para cálculos matemáticos no fue incluida en el alcance de la auditoría.
Los hackers utilizan valores extremos para construir con precisión intervalos de transacción, creando escenarios extremadamente raros con alta liquidez que desencadenan lógicas anómalas, lo que indica que este tipo de problemas es difícil de detectar mediante pruebas comunes. Este tipo de problemas a menudo se encuentran en áreas ciegas de la percepción humana, lo que hace que permanezcan ocultos durante mucho tiempo antes de ser descubiertos.
No es un problema exclusivo de Move:
Move es superior a varios lenguajes de contratos inteligentes en seguridad de recursos y verificación de tipos, e incorpora detección nativa de problemas de desbordamiento de enteros en situaciones comunes. Este desbordamiento ocurrió porque al agregar liquidez, se utilizó un valor incorrecto para la verificación del límite superior al calcular la cantidad de tokens necesarios, y se reemplazó la operación de multiplicación convencional por una operación de desplazamiento. Si se utilizaran operaciones de suma, resta, multiplicación y división convencionales, Move verificaría automáticamente el desbordamiento, evitando así este problema de truncamiento de bits altos.
Vulnerabilidades similares también han aparecido en otros lenguajes (como Solidity y Rust), e incluso son más fáciles de explotar debido a la falta de protección contra desbordamiento de enteros; antes de la actualización de la versión de Solidity, la detección de desbordamientos era muy débil. Históricamente, ha habido desbordamientos por suma, resta y multiplicación, y la causa directa de todos ellos ha sido que el resultado de la operación excedió el rango. Por ejemplo, las vulnerabilidades en los contratos inteligentes BEC y SMT del lenguaje Solidity, ambas lograron el ataque mediante la transferencia excesiva al eludir las sentencias de detección en el contrato a través de parámetros cuidadosamente construidos.
3. Mecanismo de consenso de SUI
3.1 Introducción al mecanismo de consenso SUI
Descripción:
SUI adopta un marco de Prueba de Participación Delegada (DeleGated Proof of Stake, abreviado DPoS). Aunque el mecanismo DPoS puede aumentar la capacidad de transacciones, no puede ofrecer el mismo nivel de descentralización que PoW (Prueba de Trabajo). Por lo tanto, el nivel de descentralización de SUI es relativamente bajo, y la barrera de entrada para la gobernanza es relativamente alta, lo que dificulta que los usuarios comunes influyan directamente en la gobernanza de la red.
Número promedio de validadores: 106
Promedio del ciclo de Epoch: 24 horas
Mecanismo de flujo:
Delegación de derechos: Los usuarios comunes no necesitan ejecutar nodos por sí mismos, solo deben apostar SUI y delegarlo a un validador candidato para participar en la garantía de seguridad de la red y en la distribución de recompensas. Este mecanismo puede reducir la barrera de entrada para los usuarios comunes, permitiéndoles participar en el consenso de la red a través de la "contratación" de validadores de confianza. Esta es también una gran ventaja del DPoS en comparación con el PoS tradicional.
Representa la ronda de producción de bloques: un pequeño número de validadores seleccionados producen bloques en un orden fijo o aleatorio, lo que aumenta la velocidad de confirmación y mejora el TPS.
Elección dinámica: Al final de cada ciclo de conteo de votos, se realiza una rotación dinámica y se reelige un conjunto de Validadores según el peso del voto, garantizando la vitalidad de los nodos, la consistencia de intereses y la descentralización.
Ventajas de DPoS:
Alta eficiencia: Debido a que el número de nodos de bloque es controlable, la red puede completar la confirmación en milisegundos, satisfaciendo la demanda de alta TPS.
Bajo costo: Menos nodos participan en el consenso, lo que reduce significativamente el ancho de banda de red y los recursos computacionales necesarios para la sincronización de información y la agregación de firmas. Como resultado, los costos de hardware y operación disminuyen, y los requisitos de potencia de cálculo son más bajos, lo que reduce los costos. Finalmente, se logran tarifas de usuario más bajas.
Alta seguridad: el mecanismo de participación y delegación aumenta simultáneamente el costo y el riesgo de los ataques; junto con el mecanismo de confiscación en la cadena, se inhiben eficazmente los comportamientos maliciosos.
Al mismo tiempo, en el mecanismo de consenso de SUI, se utiliza un algoritmo basado en BFT (tolerancia a fallos bizantinos), que requiere que más de dos tercios de los votos de los validadores estén de acuerdo para confirmar una transacción. Este mecanismo asegura que, incluso si unos pocos nodos actúan maliciosamente, la red puede seguir operando de manera segura y eficiente. Para realizar cualquier actualización o decisión importante, también se necesita más de dos tercios de los votos para implementarla.
En esencia, DPoS es en realidad una solución de compromiso del "triángulo imposible", que realiza un compromiso entre descentralización y eficiencia. DPoS, en el "triángulo imposible" de seguridad-descentralización-escalabilidad, elige reducir la cantidad de nodos activos de bloque para obtener un rendimiento más alto, sacrificando un cierto grado de descentralización completa en comparación con PoS puro o PoW, pero mejorando significativamente el rendimiento de la red y la velocidad de las transacciones.
This page may contain third-party content, which is provided for information purposes only (not representations/warranties) and should not be considered as an endorsement of its views by Gate, nor as financial or professional advice. See Disclaimer for details.
10 me gusta
Recompensa
10
5
Compartir
Comentar
0/400
PuzzledScholar
· hace23h
¿Es una gran injusticia? Nosotros, los pequeños inversores minoristas, no entendemos los contratos.
Ver originalesResponder0
BlockchainDecoder
· hace23h
Desde la perspectiva de la arquitectura técnica, esta vulnerabilidad en realidad no es preocupante. Lo que merece seguir es el mecanismo de respuesta de DPOS.
Ver originalesResponder0
MEVEye
· hace23h
Otra vez se ha escapado un error en el contrato.
Ver originalesResponder0
ZKProofster
· hace23h
técnicamente... esas verificaciones de límites deberían haber sido obvias af smh
Ver originalesResponder0
StakeWhisperer
· hace23h
La cadena no tiene problemas, solo que el equipo del proyecto tiene un poco de agua.
Reflexiones tras la crisis ecológica de SUI: la importancia de la centralización razonable y la construcción de la seguridad
Fe de firmeza tras la crisis de seguridad: ¿por qué SUI sigue teniendo potencial de crecimiento a largo plazo?
TL;DR
El ataque radica principalmente en la falta de verificación de límites en las funciones aritméticas del protocolo Cetus------una vulnerabilidad lógica causada por una máscara demasiado amplia y un desbordamiento de desplazamiento, que no está relacionada con el modelo de seguridad de recursos de la cadena SUI o el lenguaje Move. La vulnerabilidad puede ser corregida con "una verificación de límites en una línea" y no afecta la seguridad central de todo el ecosistema.
Aunque SUI presenta una ligera tendencia a la centralización al adoptar funciones como rondas de validadores DPoS y congelación de listas negras, esto resultó ser útil en la respuesta al evento CETUS: los validadores sincronizaron rápidamente las direcciones maliciosas a la Deny List, rechazando empaquetar transacciones relacionadas y logrando la congelación instantánea de más de 160 millones de dólares en fondos. Esto es esencialmente una forma activa de "keynesianismo en cadena", donde un control macroeconómico efectivo tiene un efecto positivo en el sistema económico.
Matemáticas y verificación de límites: introducir afirmaciones de límites superiores e inferiores para todas las operaciones aritméticas clave (como desplazamiento, multiplicación y división), y realizar fuzzing de valores extremos y verificación formal. Además, es necesario mejorar la auditoría y la supervisión: además de las auditorías de código generales, se debe aumentar el equipo de auditoría matemática profesional y la detección en tiempo real del comportamiento de transacciones en la cadena, para detectar a tiempo divisiones anormales o grandes préstamos relámpago.
En el evento de Cetus, SUI colaboró de manera eficiente con el equipo del proyecto, logrando congelar más de 160 millones de dólares en fondos y promoviendo un plan de compensación del 100%, lo que demuestra una fuerte capacidad de respuesta en la cadena y un sentido de responsabilidad ecológica. La Fundación SUI también añadió 10 millones de dólares en fondos de auditoría para fortalecer la línea de defensa de seguridad. En el futuro, se pueden avanzar aún más los sistemas de seguimiento en la cadena, las herramientas de seguridad construidas por la comunidad, los mecanismos de seguros descentralizados, entre otros, para mejorar el sistema de protección de fondos.
SUI ha logrado rápidamente una transición de "nueva cadena" a "ecosistema fuerte" en menos de dos años, construyendo un mapa ecológico diversificado que abarca múltiples vías como stablecoins, DEX, infraestructura, DePIN y juegos. La escala total de stablecoins supera los 1,000 millones de dólares, proporcionando una sólida base de liquidez para los módulos DeFi; el TVL ocupa el octavo lugar a nivel mundial, con la quinta mayor actividad de transacciones a nivel global, y el tercer lugar entre las redes no EVM (solo detrás de Bitcoin y Solana), lo que demuestra una fuerte participación de los usuarios y capacidad de sedimentación de activos.
1. Una reacción en cadena provocada por un ataque.
El 22 de mayo de 2025, el principal protocolo AMM Cetus, desplegado en la red SUI, sufrió un ataque de hackers. Los atacantes aprovecharon una vulnerabilidad lógica relacionada con el "problema de desbordamiento de enteros" para llevar a cabo un control preciso, lo que resultó en pérdidas de más de 200 millones de dólares en activos. Este incidente no solo es uno de los accidentes de seguridad más grandes en el campo de DeFi hasta ahora este año, sino que también se ha convertido en el ataque de hackers más destructivo desde el lanzamiento de la red principal SUI.
Según los datos de DefiLlama, el TVL total de SUI en la cadena cayó más de 330 millones de dólares el día del ataque, y el monto bloqueado del protocolo Cetus se evaporó instantáneamente en un 84%, cayendo a 38 millones de dólares. Debido a esto, varios tokens populares en SUI (incluidos Lofi, Sudeng, Squirtle, entre otros) cayeron entre un 76% y un 97% en solo una hora, lo que generó una amplia preocupación en el mercado sobre la seguridad de SUI y la estabilidad de su ecosistema.
Pero después de esta ola de choque, el ecosistema SUI ha mostrado una gran resiliencia y capacidad de recuperación. A pesar de que el evento Cetus ha generado fluctuaciones en la confianza a corto plazo, los fondos en la cadena y la actividad de los usuarios no han sufrido una disminución continua, sino que han impulsado un aumento significativo en la atención hacia la seguridad, la construcción de infraestructura y la calidad de los proyectos en todo el ecosistema.
Klein Labs se centrará en las causas de este ataque, el mecanismo de consenso de nodos de SUI, la seguridad del lenguaje MOVE y el desarrollo ecológico de SUI, para analizar la actual estructura ecológica de esta cadena pública que aún se encuentra en una etapa temprana de desarrollo y discutir su potencial de desarrollo futuro.
2. Análisis de las causas del ataque del evento Cetus
2.1 Proceso de implementación del ataque
Según el análisis técnico del equipo Slow Mist sobre el ataque a Cetus, los hackers aprovecharon con éxito una vulnerabilidad crítica de desbordamiento aritmético en el protocolo, utilizando préstamos relámpago, manipulación de precios precisa y defectos en el contrato, robando más de 200 millones de dólares en activos digitales en un corto período de tiempo. La ruta del ataque se puede dividir aproximadamente en las siguientes tres etapas:
①Iniciar un préstamo relámpago, manipular precios
Los hackers primero aprovecharon el deslizamiento máximo para realizar un intercambio relámpago de 100 mil millones de haSUI, prestando grandes cantidades de dinero para manipular los precios.
El préstamo relámpago permite a los usuarios pedir prestado y devolver fondos en una sola transacción, solo pagando una tarifa, con características de alta palanca, bajo riesgo y bajo costo. Los hackers aprovecharon este mecanismo para reducir el precio del mercado en poco tiempo y lo controlaron de manera precisa en un rango muy estrecho.
Luego, el atacante se prepara para crear una posición de liquidez extremadamente estrecha, estableciendo el rango de precios exactamente entre la oferta más baja de 300,000 y la más alta de 300,200, con un ancho de precio de solo 1.00496621%.
A través de la anterior manera, los hackers utilizaron una cantidad suficiente de tokens y una gran liquidez para manipular con éxito el precio de haSUI. Luego, también manipularon varios tokens sin valor real.
②Agregar liquidez
El atacante crea posiciones de liquidez estrechas, declara que añade liquidez, pero debido a la vulnerabilidad de la función checked_shlw, solo recibe 1 token al final.
Esencialmente se debe a dos razones:
Configuración de la máscara demasiado amplia: equivale a un límite de adición de liquidez extremadamente alto, lo que hace que la verificación de la entrada del usuario en el contrato sea inútil. Los hackers eluden la detección de desbordamiento configurando parámetros anómalos, construyendo entradas que siempre son menores que ese límite.
Desbordamiento de datos truncado: Al realizar la operación de desplazamiento n << 64 en el valor numérico n, se produjo un truncamiento de datos debido a que el desplazamiento superó el ancho de bits efectivo del tipo de datos uint256 (256 bits). La parte de desbordamiento más alta se descartó automáticamente, lo que llevó a que el resultado de la operación estuviera muy por debajo de lo esperado, lo que hizo que el sistema subestimara la cantidad de haSUI necesaria para el intercambio. El resultado final del cálculo fue aproximadamente menor que 1, pero debido a que se redondeó hacia arriba, el resultado final fue igual a 1, lo que significa que el hacker solo necesitaba agregar 1 token para poder intercambiar una gran liquidez.
③ retirar liquidez
Hacer el reembolso de un préstamo relámpago, conservando enormes ganancias. Finalmente, retirar activos de tokens por un valor total de cientos de millones de dólares de múltiples pools de liquidez.
La situación de pérdida de fondos es grave, el ataque ha llevado al robo de los siguientes activos:
12.9 millones de SUI (aproximadamente 54 millones de dólares)
6000 millones de dólares USDC
490万美元 Haedal Staked SUI
1950万美元 TOILET
Otros tokens como HIPPO y LOFI cayeron un 75--80%, la liquidez se agotó
2.2 Causas y características de esta vulnerabilidad
La vulnerabilidad de Cetus tiene tres características:
Costo de reparación extremadamente bajo: por un lado, la causa fundamental del evento Cetus es un descuido en la biblioteca matemática de Cetus, no un error en el mecanismo de precios del protocolo ni un error en la arquitectura subyacente. Por otro lado, la vulnerabilidad se limita únicamente a Cetus y no tiene relación con el código de SUI. La raíz de la vulnerabilidad se encuentra en una condición límite que solo requiere modificar dos líneas de código para eliminar completamente el riesgo; una vez completada la reparación, se puede desplegar de inmediato en la red principal, asegurando que la lógica de los contratos futuros esté completa y eliminando dicha vulnerabilidad.
Alta ocultación: el contrato ha estado funcionando sin fallos durante dos años, el Cetus Protocol ha realizado múltiples auditorías, pero no se han encontrado vulnerabilidades, siendo la razón principal que la biblioteca Integer_Mate utilizada para cálculos matemáticos no fue incluida en el alcance de la auditoría.
Los hackers utilizan valores extremos para construir con precisión intervalos de transacción, creando escenarios extremadamente raros con alta liquidez que desencadenan lógicas anómalas, lo que indica que este tipo de problemas es difícil de detectar mediante pruebas comunes. Este tipo de problemas a menudo se encuentran en áreas ciegas de la percepción humana, lo que hace que permanezcan ocultos durante mucho tiempo antes de ser descubiertos.
Move es superior a varios lenguajes de contratos inteligentes en seguridad de recursos y verificación de tipos, e incorpora detección nativa de problemas de desbordamiento de enteros en situaciones comunes. Este desbordamiento ocurrió porque al agregar liquidez, se utilizó un valor incorrecto para la verificación del límite superior al calcular la cantidad de tokens necesarios, y se reemplazó la operación de multiplicación convencional por una operación de desplazamiento. Si se utilizaran operaciones de suma, resta, multiplicación y división convencionales, Move verificaría automáticamente el desbordamiento, evitando así este problema de truncamiento de bits altos.
Vulnerabilidades similares también han aparecido en otros lenguajes (como Solidity y Rust), e incluso son más fáciles de explotar debido a la falta de protección contra desbordamiento de enteros; antes de la actualización de la versión de Solidity, la detección de desbordamientos era muy débil. Históricamente, ha habido desbordamientos por suma, resta y multiplicación, y la causa directa de todos ellos ha sido que el resultado de la operación excedió el rango. Por ejemplo, las vulnerabilidades en los contratos inteligentes BEC y SMT del lenguaje Solidity, ambas lograron el ataque mediante la transferencia excesiva al eludir las sentencias de detección en el contrato a través de parámetros cuidadosamente construidos.
3. Mecanismo de consenso de SUI
3.1 Introducción al mecanismo de consenso SUI
Descripción:
SUI adopta un marco de Prueba de Participación Delegada (DeleGated Proof of Stake, abreviado DPoS). Aunque el mecanismo DPoS puede aumentar la capacidad de transacciones, no puede ofrecer el mismo nivel de descentralización que PoW (Prueba de Trabajo). Por lo tanto, el nivel de descentralización de SUI es relativamente bajo, y la barrera de entrada para la gobernanza es relativamente alta, lo que dificulta que los usuarios comunes influyan directamente en la gobernanza de la red.
Número promedio de validadores: 106
Promedio del ciclo de Epoch: 24 horas
Mecanismo de flujo:
Delegación de derechos: Los usuarios comunes no necesitan ejecutar nodos por sí mismos, solo deben apostar SUI y delegarlo a un validador candidato para participar en la garantía de seguridad de la red y en la distribución de recompensas. Este mecanismo puede reducir la barrera de entrada para los usuarios comunes, permitiéndoles participar en el consenso de la red a través de la "contratación" de validadores de confianza. Esta es también una gran ventaja del DPoS en comparación con el PoS tradicional.
Representa la ronda de producción de bloques: un pequeño número de validadores seleccionados producen bloques en un orden fijo o aleatorio, lo que aumenta la velocidad de confirmación y mejora el TPS.
Elección dinámica: Al final de cada ciclo de conteo de votos, se realiza una rotación dinámica y se reelige un conjunto de Validadores según el peso del voto, garantizando la vitalidad de los nodos, la consistencia de intereses y la descentralización.
Ventajas de DPoS:
Alta eficiencia: Debido a que el número de nodos de bloque es controlable, la red puede completar la confirmación en milisegundos, satisfaciendo la demanda de alta TPS.
Bajo costo: Menos nodos participan en el consenso, lo que reduce significativamente el ancho de banda de red y los recursos computacionales necesarios para la sincronización de información y la agregación de firmas. Como resultado, los costos de hardware y operación disminuyen, y los requisitos de potencia de cálculo son más bajos, lo que reduce los costos. Finalmente, se logran tarifas de usuario más bajas.
Alta seguridad: el mecanismo de participación y delegación aumenta simultáneamente el costo y el riesgo de los ataques; junto con el mecanismo de confiscación en la cadena, se inhiben eficazmente los comportamientos maliciosos.
Al mismo tiempo, en el mecanismo de consenso de SUI, se utiliza un algoritmo basado en BFT (tolerancia a fallos bizantinos), que requiere que más de dos tercios de los votos de los validadores estén de acuerdo para confirmar una transacción. Este mecanismo asegura que, incluso si unos pocos nodos actúan maliciosamente, la red puede seguir operando de manera segura y eficiente. Para realizar cualquier actualización o decisión importante, también se necesita más de dos tercios de los votos para implementarla.
En esencia, DPoS es en realidad una solución de compromiso del "triángulo imposible", que realiza un compromiso entre descentralización y eficiencia. DPoS, en el "triángulo imposible" de seguridad-descentralización-escalabilidad, elige reducir la cantidad de nodos activos de bloque para obtener un rendimiento más alto, sacrificando un cierto grado de descentralización completa en comparación con PoS puro o PoW, pero mejorando significativamente el rendimiento de la red y la velocidad de las transacciones.
![Fe de firmeza tras la crisis de seguridad: