Иногда самые смертоносные угрозы скрываются в самых неприметных местах.

Самая крупная децентрализованная биржа на Sui-цепочке пережила крайне разрушительное событие безопасности — хакеры с помощью уязвимости в коде жестко вывели 230 миллионов долларов из резервного фонда. Стоимость этой строки кода как бы ни была, она не может обойтись без этой цены в 1.6 миллиарда.

Корень проблемы на самом деле очень скрытный. Хакеры, используя тщательно спроектированные входные параметры, вызвали цепную реакцию: сначала условие n<=mask стало истинным, что привело к выполнению кода на 23-й строке; затем было обеспечено, что n≥2^192, и когда выполняется операция сдвига влево n<<64, всё значение мгновенно превышает границу u256. В результате функция выдала совершенно неожиданный результат, и хакеры получили возможность манипулировать активами.

Весь процесс атаки был настолько изящным, что вызывал удивление — это не грубое насилие, а глубокое понимание границ протокола. Хакеры, похоже, точно вычислили каждый параметр, как будто нашли критическую точку в высокоточной математической игре.

К счастью, официальная команда быстро обнаружила и исправила эту уязвимость. Но предупреждение, оставшееся после этого инцидента, по-прежнему ярко сияет: в области блокчейна даже самая незначительная ошибка в коде, умноженная на достаточный объем средств, может обернуться финансовой катастрофой. Для любого протокола, работающего на блокчейне, важность аудита кода уже давно превышает рамки "лучших практик" — это основа для выживания.