慢雾：Cetus被盗 2.3 亿美金事件分析

2025-06-29 09:27:09 [宏观研究] 来源：百合陈皮鲫鱼汤网

背景

5 月 22 日，据社区消息，SUI 生态上的流动性提供商 Cetus 疑似遭攻击，流动性池深度大幅下降，Cetus 上多个代币交易对出现下跌，预计损失金额超过 2.3 亿美元。随后，Cetus 发布公告称：“我们协议中检测到了一起事件，安全起见，智能合约已暂时暂停。目前，团队正在对该事件展开调查。我们很快会发布进一步的调查声明。”

事件发生后，慢雾安全团队第一时间介入分析，并发布安全提醒。以下是对攻击手法及资金转移情况的详细解析。

(https://x.com/CetusProtocol/status/1925515662346404024)

攻击分析

此次事件的核心是攻击者通过精心构造参数，使溢出发生但又能绕过检测，最终用极小的 Token 金额即可换取巨额流动性资产，以下为具体步骤解析：

（攻击时序图）

1. 攻击者首先通过闪电贷借出了 10,024,321.28 个 haSUI，导致池子价格从 18,956,530,795,606,879,104 暴跌至 18,425,720,184762886，价格下跌幅度达到 99.90%。

2. 攻击者精心选择了一个极窄的价格区间开立流动性头寸：

Tick 下限：300000（价格：60,257,519,765,924,248,467,716,150）
Tick 上限：300200 （价格：60,863,087,478,126,617,965,993,239）
价格区间宽度：仅 1.00496621%

3. 接着就是此次攻击的核心，攻击者声明要添加 10,365,647,984,364,446,732,462,244,378,333,008 单位的巨大流动性，但由于存在漏洞，系统只收取了 1 个代币 A。

我们来分析一下攻击者为什么能够用 1 个 Token 兑换出巨额流动性。其核心原因在于 get_delta_a 函数中的 checked_shlw 存在溢出检测绕过漏洞。攻击者正是利用了这一点，使得系统在计算实际需要添加多少 haSUI 时出现了严重偏差。由于溢出未被检测，系统误判了所需 haSUI 的数量，导致攻击者仅需极少的 Token，就能兑换出大量的流动性资产，从而实现了攻击。

当系统计算添加如此巨大流动性需要多少 haSUI 时：

这里的关键在于 checked_shlw 函数的实现存在严重缺陷。实际上，任何小于0xffffffffffffffff << 192 的输入值都会绕过溢出检测。然而，当这些值被左移 64 位时，结果会超出 u256 的表示范围，此时高位数据被截断，导致得到的结果远小于理论值。这样一来，系统在后续计算中就会低估所需的 haSUI 数量。

错误掩码：0xffffffffffffffff << 192 = 非常大的数值（约2^256-2^192）
几乎所有输入都小于这个掩码，绕过溢出检测
真正的问题：当n >= 2^192 时，n << 64 会超出 u256 范围并被截断

攻击者构造的中间值 liquidity * sqrt_price_diff = 6277101735386680763835789423207666908085499738337898853712：

小于错误掩码，绕过溢出检测
但在左移 64 位后会超出 u256 最大值，从而导致超出的部分被截断
导致最终计算结果约小于 1，但由于是向上取整，quotient 算出来就等于 1

4. 最后攻击者移除流动性，获得巨额代币收益：

第一次移除：获得 10,024,321.28 个 haSUI
第二次移除：获得 1 个 haSUI
第三次移除：获得 10,024,321.28 个 haSUI

5. 攻击者归还闪电贷，净获利约 10,024,321.28 个 haSUI 和 5,765,124.79 个 SUI，攻击完成。

项目方修复情况

攻击发生后，Cetus 发布了修复补丁。具体修复代码可参考：https://github.com/CetusProtocol/integer-mate/pull/7/files#diff-c04eb6ebebbabb80342cd953bc63925e1c1cdc7ae1fb572f4aad240288a69409。

修复后的 checked_shlw 函数如下：

修复说明：