Revisão do incidente de segurança do Cetus e análise da auditoria de código

Recentemente, o DEX Cetus da ecosistema SUI foi atacado, gerando uma nova preocupação na indústria sobre a segurança dos projetos DeFi. Este artigo revisará a situação da auditoria de segurança do código do Cetus e discutirá o impacto da auditoria de código na segurança dos projetos DeFi.

Situação da auditoria de código da Cetus

A Cetus publicou vários relatórios de auditoria de código no Github, principalmente de três instituições: MoveBit, OtterSec e Zellic. Como este ataque ocorreu na cadeia SUI, focamos nos resultados da auditoria relacionados à cadeia SUI.

Relatório de Auditoria MoveBit

O relatório de auditoria do MoveBit foi enviado em 28 de abril de 2023, tendo sido encontrados um total de 18 problemas de risco:

• 1 risco mortal
• 2 principais riscos
• 3 riscos moderados
• 12 riscos leves

É importante notar que essas questões foram todas resolvidas.

Relatório de Auditoria OtterSec

O relatório de auditoria da OtterSec foi carregado em 12 de maio de 2023, encontrando os seguintes problemas:

• 1 questão de alto risco (resolvida)
• 1 problema de risco moderado (resolvido)
• 7 riscos informativos (2 resolvidos, 2 com patches de correção submetidos, 3 em espera)

Os riscos informativos não totalmente resolvidos incluem:

1. A versão do código SUI é inconsistente com a do Aptos, o que pode afetar o cálculo do preço do pool de liquidez.
2. Falta validação do estado de pausa, o que pode permitir transações mesmo em estado de pausa.
3. Durante transações de grande valor, pode ocorrer uma sobrecarga na conversão de tipo de u256 para u64.

Relatório de Auditoria Zellic

O relatório de auditoria da Zellic encontrou 3 riscos informativos, que não foram corrigidos:

1. Problema de autorização de função, permitindo que qualquer pessoa deposite taxas na conta do parceiro.
2. Existem funções obsoletas que ainda estão a ser referenciadas, causando redundância no código.
3. O tipo de dados complexo TypeName foi usado nos dados exibidos do NFT

Estas questões dizem respeito principalmente à conformidade do código, com risco relativamente baixo.

Auditoria de Código e Segurança do Projeto

O caso da Cetus mostra que mesmo projetos auditados por várias instituições podem ser alvo de ataques. Isso nos lembra que, embora a auditoria de código seja importante, não é uma garantia de segurança infalível.

Comparar as medidas de segurança de alguns novos projetos DEX:

1. GMX V2: 5 empresas auditadas, recompensa máxima de 500 mil dólares por vulnerabilidade
2. DeGate: 35 empresas auditadas, prêmio máximo de 111 mil dólares por vulnerabilidade
3. DYDX V4: auditado pela Informal Systems, com um prêmio de até 5 milhões de dólares por vulnerabilidades.
4. Hyperliquid: auditoria independente, prémio de até 1 milhão de dólares por falha
5. UniversalX: Auditoria dupla da Certik e Slow Mist
6. GMGN: Relatório de auditoria não divulgado, mas há um programa de recompensa por vulnerabilidades de até 10.000 dólares.

Conclusão

A auditoria de múltiplas partes, juntamente com um elevado plano de recompensas por vulnerabilidades, pode aumentar a segurança do projeto até certo ponto. No entanto, os novos protocolos DeFi ainda podem ter riscos de segurança não corrigidos. Assim, os investidores devem prestar especial atenção à auditoria de código e às medidas de segurança ao participar de novos projetos.

Para os projetos DeFi, a auditoria de segurança contínua e a correção oportuna de vulnerabilidades são essenciais. Além disso, estabelecer um mecanismo de gestão de riscos eficaz, incluindo planos de resposta a emergências, é uma medida necessária para garantir a operação estável e de longo prazo do projeto.