CETUSスマートコントラクトの小さなオーバーフローバグは、2億3,000万ドルの損失の根本原因でした

slowmistは、reced_shlw関数のバグが2億3,000万ドルの損失の根本原因であることを確認しました。 Cetusスマートコントラクトの小さなオーバーフローバグにより、攻撃者は大規模な流動性堆積物を偽造することができました。

On May 22, something alarming happened in the SUI blockchain world. Prices on the Cetus decentralized exchange (DEX) suddenly dropped, and its liquidity pools were drained. The total estimated loss was over $230 million.

5月22日、SUIブロックチェーンの世界で何か驚くべきことが起こりました。 Cetus分散型取引所（DEX）の価格が突然低下し、その流動性プールが排出されました。総推定損失は2億3,000万ドルを超えました。

Several reports quickly implicated a single triple-entry arbitrageur who used a flash loan to crash a token price instantly and siphon off funds from multiple protocols. However, the precise technical vulnerability that enabled this massive exploit remained a subject of discussion.

いくつかのレポートは、フラッシュローンを使用してトークンの価格を即座にクラッシュさせ、複数のプロトコルから資金を吸い取る単一のトリプルエントリarbitrageurをすぐに含みました。ただし、この大規模なエクスプロイトを可能にした正確な技術的脆弱性は、議論の対象となりました。

Now, renowned blockchain security team SlowMist has released a detailed analysis, revealing a tiny overflow bug in Cetus’ smart contract as the root cause of the staggering DeFi loss.

現在、有名なブロックチェーンセキュリティチームのSlowmistが詳細な分析をリリースし、Cetusのスマートコントラクトの小さなオーバーフローバグが驚異的なDefi損失の根本原因として明らかになりました。

The checked_shlw function, designed to check for errors like overflows, failed to properly detect an overflow in the get_delta_a function, which is used to calculate the delta of token A when adding liquidity.

Overflowなどのエラーをチェックするように設計されたCHECKED_SHLW関数は、get_delta_a関数のオーバーフローを適切に検出できませんでした。

This bug allowed the attacker to claim to be adding a huge amount of liquidity by displaying a nearly impossible price and submitting only 1 token, while the system expected 367506680905089974005506088888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888888

このバグにより、攻撃者は、ほぼ不可能な価格を表示し、1つのトークンのみを提出することにより、膨大な量の流動性を追加していると主張することができましたが、システムはシステムが予想していました。