Cetus 被黑客攻擊後：這場風波我們應該看清什麼？

前言

5 月 22 日，Sui 生態上的頭部 DEX 協議 Cetus 遭遇黑客攻擊，協議核心合約出現漏洞，攻擊者趁機套取大量資產。事件短時間內引發廣泛關注，不僅波及相關用戶，也促使多個 Sui 項目進入緊急響應狀態。

但隨之而來的，並不是鏈回滾或超級權限幹預，而是快速啓動了：驗證者投票、項目主動停機、資產鏈上凍結、協議自查升級……整個過程，構成了鏈上金融安全治理的一次真實演練。

截止本文結稿時間，此次黑客攻擊事件發生已經過去五天了，這次事件影響廣泛，引發了社區對“鏈上安全”“去中心化治理”以及“協議應急響應”的熱烈討論。

本文試圖梳理清楚：這次到底發生了什麼？責任在哪？Sui 的生態是如何應對的？我們該從中學到什麼？

攻擊是如何發生的？

攻擊發生在 2025 年 5 月 22 日上午，目標是 Cetus 的 CLMM 流動性池。攻擊者發現了合約中的一個漏洞，借助構造交易，在多輪操作中套取資產。

具體過程如下：

10:30 UTC 左右，攻擊開始。黑客通過異常交易壓低池內價格，同時開設高價區流動性倉位，並利用合約邏輯漏洞，以極少量代幣注入大量“僞造”流動性。

接着，黑客反復執行“添加/移除流動性”，從池中套走實際資產。

攻擊持續約 20 分鍾，部分監控系統開始報警。

攻擊發生後的40分鍾

10:40 UTC，Cetus 的監控系統檢測到池行爲異常。

10:53 UTC，Cetus 團隊確認攻擊來源，並將信息通報至 Sui 生態其他項目。

10:57 UTC，Cetus 第一時間關閉核心流動性池，防止進一步損失。

11:20 UTC，全面停用相關合約。

這波反應很快，但黑客已盜取大量資金。

凍結黑客資金，是怎麼做到的？

事件擴大後，生態啓動了更大範圍的應急響應：

Sui 驗證者很快開始鏈上協作，投票是否拒絕打包黑客地址的交易；

在達到 33% 質押門檻後，黑客地址被有效凍結，交易無法在鏈上繼續被處理。

這不是系統回滾，也不是後臺幹預，而是驗證者通過共識機制做出的操作。鏈的狀態未被改變，用戶交易未被篡改，一切基於現有鏈上規則完成。

所謂“系統回滾”，是指將整個區塊鏈網路的狀態回到攻擊發生前的某一時刻，就像時間倒流一樣。這通常意味着已經確認的交易會被抹去，鏈的歷史會被重寫。而“後臺幹預”則是指由某個中心化權力（如項目方或基金會）直接操控節點或資金，繞過正常流程做出處理決策。

在這次事件中，沒有發生這些情況。驗證者是通過公開投票、自主決策，依據鏈上規則實施凍結，這正是去中心化治理的體現。

目前資金情況如何？

Cetus 公布的數據如下：

黑客共盜取資產約 2.3 億美元；

其中1.6億美元資產仍在兩個被凍結的 Sui 地址中，已經無法轉移；

6000萬美元資產已被跨鏈轉移至以太坊，目前已知兩個地址仍在追蹤中。

協議正在推動社區投票，以決定如何進行資產返還與補償。

爲什麼會出事？是鏈本身的問題？還是應用層漏洞問題？

根據慢霧的報告和技術大V們的分析，都指向同一個問題：事件的根源在於 Cetus 合約中使用的開源代碼邏輯存在問題。攻擊者利用的是應用層合約中一個數據溢出檢查相關的失誤，該漏洞如被提前發現並被修復，便不會造成損失。因此並非 Move 編程語言本身的漏洞。

同樣重要的是：Sui 網路本身並未遭到攻擊，也沒有出現系統性風險。

這是一場標準的“協議層安全事件”，不是鏈層安全問題。

攻擊發生後，Sui生態上的其他項目如何行動？

在 Cetus 停擺之後，Sui 上多個項目開始安全自查，我們觀察到其中 Momentum 協議也在攻擊發生第一時間暫停交易，完成了全鏈代碼審計與風險排查，並在被盜資金凍結後恢復。

Momentum協議作爲目前Sui生態上的龍頭Dex，第一時間停止交易，配合Sui基金會封鎖被盜資金，以防止黑客將其通過Dex交易蔓延到更多的交易資產帳戶。同時進行了縝密的自查，自查結果無誤後，並在確認被盜資金被Sui基金會成功凍結後，率先恢復交易功能。

事件後續如何？

目前：

Cetus 已完成核心漏洞修復，正在與審計團隊復查代碼；

用戶補償方案正在制定中，部分依賴生態治理提案投票決定；

其他 Sui 項目也已陸續恢復運行或正在完成安全加固。

整個生態沒有停擺，反而在事件後更系統地檢視了安全機制。

這次事件告訴我們什麼？

這次 Cetus 被攻擊，讓所有建設者和用戶都再次直面一個現實問題：

協議安全，到底靠什麼？

答案已經越來越明確：

靠去中心化帶來的集體智慧，不是以去中心化做借口而不作爲；

靠持續的系統性投入，不是一兩次審計報告；

靠平時的準備和機制建設，不止事後的補救；

靠每一個參與者願意承擔責任、主動行動，而不是把問題甩給“鏈”或“技術”。

我們看到，黑客確實制造了損失，但並沒有摧毀系統；

也看到，去中心化不是躲在規則後冷眼旁觀，而是自發地集結起來，守住底線，保護用戶。

結語

真正的去中心化，不是口號，是責任

這場風波裏，沒有救世主。

Sui 驗證者投票凍結了風險交易；其他協議完成了安全自查，有的快速恢復上線；用戶也在持續關注、推動改進。

去中心化不是放任，而是有邊界、有原則、有擔當的協作。

在一個沒有後臺的系統裏，信任必須靠每一行代碼，每一個機制，每一次決策撐起來。

這次事件是一次危機，也是一場考試，更是一面鏡子。

它告訴我們：

去中心化不是目的，而是一種方法，目的是構建信任；去中心化帶來的是集體智慧。

去中心化固然重要，但是資金效率和協議安全更重要。