Cetusが攻撃を受け、コードの安全性監査の重要性が再び浮き彫りになった

Cetusが攻撃を受けた具体的な理由と影響は現在不明です。まずはCetusのコードセキュリティ監査の状況を振り返りましょう。

一般ユーザーは具体的な技術的詳細を理解するのが難しいかもしれませんが、監査の要約を通じて状況を大まかに把握することができます。

Cetusのコード監査レポート

CetusのGitHubには、MoveBit、OtterSec、Zellicからの5つのコード監査レポートが掲載されています。これらの監査機関はすべて、Move言語のコード監査に特化しており、AptosやSUIなどの新興パブリックチェーンエコシステムにとって非常に重要です。今回の攻撃がSUIチェーン上で発生したため、SUIチェーンに関連する監査レポートに重点を置きます。

! 【SUI Ecosystem DEX #Cetus 攻撃を受けたとき、コードセキュリティ監査は本当に十分か? ](https://img-cdn.gateio.im/webp-social/moments-fb51a86cbc2a96eb03870b729e9e1646.webp)

MoveBitの監査報告書

MoveBitの監査報告書は2023年4月28日にGitHubにアップロードされました。この報告書では、1つの致命的リスク、2つの主要なリスク、3つの中程度のリスク、12の軽微なリスクを含む18のリスク問題が発見されました。すべての問題が解決されたことが注目に値します。

OtterSecの監査報告書

OtterSecの監査報告書は2023年5月12日にアップロードされました。この報告書では、高リスクの問題が1つ、中程度のリスクの問題が1つ、情報リスクが7つ発見されました。高リスクおよび中程度のリスクの問題は解決されており、情報リスクのうち2つは解決され、2つは修正パッチが提出され、3つは未解決です。

未解決の情報リスクには以下が含まれます:

1. SUIとAptosのバージョンコードが一致しないため、流動性プールの価格計算の正確性に影響を与える可能性があります。
2. 一時停止状態の検証が不足しているため、一時停止された流動性プールが依然として取引可能になる可能性があります。
3. 大規模な取引では、u256からu64への型変換オーバーフローが発生する可能性があり、計算エラーを引き起こすことがあります。

! 【SUI Ecosystem DEX #Cetus 攻撃を受けたとき、コードセキュリティ監査は本当に十分か? ](https://img-cdn.gateio.im/webp-social/moments-96f1841400ac56dfeac5f81a81e7aa6f.webp)

Zellicの監査報告書

Zellicの監査報告書は2023年4月にアップロードされ、3つの情報リスクが発見されましたが、いずれも修正されていません。

1. 認可の問題で、誰でも任意のパートナーアカウントに費用を入金できるようにします。
2. 廃止されたがまだ参照されている関数があり、コードの冗長性を引き起こしています。
3. NFTデータの表示に関するUIの問題。

これらの問題は主にコードの規範性に関連しており、リスクは比較的低いです。

! 【SUI Ecosystem DEX #Cetus 攻撃を受けたとき、コードセキュリティ監査は本当に十分か? ](https://img-cdn.gateio.im/webp-social/moments-5965ddc6b5327a2c9932afd86bdc8ecb.webp)

コード監査の重要性

監査はプロジェクトの安全性にとって非常に重要です。コード監査を受けていないプロジェクトは、比較的高いリスクを伴う可能性があります。しかし、Cetusのように複数の機関によって監査されたプロジェクトでさえ、攻撃を受ける可能性があります。これは、単にコード監査に依存するだけでは不十分であることを示しています。

いくつかの新興DEXプロジェクトは、より包括的なセキュリティ対策を講じています：

• GMX V2は5社によるコード監査を受け、最高500万ドルのバグバウンティプログラムを開始しました。
• DeGateは3社によるコード監査を受け、最大111万ドルのバグ報奨プログラムを開始しました。
• DYDX V4はInformal Systemsによってコード監査され、最高500万ドルのバグバウンティプログラムがあります。
• Hyperliquidは内部コード監査を行い、最高100万ドルのバグバウンティプログラムを提供しています。

! 【SUI Ecosystem DEX #Cetus 攻撃を受けたとき、コードセキュリティ監査は本当に十分か? ](https://img-cdn.gateio.im/webp-social/moments-9001e93d1e49d0078b985b1b1df33019.webp)

まとめ

Cetusの遭遇は再び証明しました。複数の機関による監査を受けたプロジェクトであっても、安全リスクに直面する可能性があることを。DeFiプロジェクトにとっては、多主体監査と脆弱性報奨プログラムや監査コンペを組み合わせることで、安全性を相対的に高めることができます。しかし、新興DeFiプロトコルには未修正の問題が依然として存在しており、これがこれらのプロトコルのコード監査の状況に継続的に注目することが重要な理由でもあります。