Cetus bị tấn công, kiểm toán mã thực sự không có gì là hoàn hảo sao?

Hiện tại, nguyên nhân cụ thể và ảnh hưởng của cuộc tấn công vào Cetus vẫn chưa rõ ràng. Hãy cùng điểm qua tình hình kiểm toán an toàn mã của Cetus.

Mặc dù chúng ta có thể không hiểu rõ về các chi tiết kỹ thuật cụ thể, nhưng tóm tắt kiểm toán vẫn có thể được hiểu.

Tình hình kiểm toán mã của Cetus

Báo cáo kiểm toán của MoveBit

MoveBit đã tải lên báo cáo kiểm toán cho Cetus vào ngày 28 tháng 4 năm 2023. Báo cáo đã phát hiện tổng cộng 18 vấn đề rủi ro, bao gồm 1 rủi ro nghiêm trọng, 2 rủi ro lớn, 3 rủi ro vừa và 12 rủi ro nhẹ. Đáng chú ý là tất cả các vấn đề này đã được giải quyết.

Báo cáo kiểm toán của OtterSec

OtterSec đã tải lên báo cáo kiểm toán vào ngày 12 tháng 5 năm 2023. Báo cáo này phát hiện 1 vấn đề rủi ro cao, 1 vấn đề rủi ro vừa và 7 rủi ro thông tin. Vấn đề rủi ro cao và vừa đã được giải quyết, trong số các rủi ro thông tin, 2 vấn đề đã được giải quyết, 2 vấn đề đã gửi bản vá sửa lỗi, còn 3 vấn đề chưa được giải quyết.

Các vấn đề chưa được giải quyết bao gồm:

1. Phiên bản mã Sui và Aptos không nhất quán, có thể ảnh hưởng đến độ chính xác của việc tính toán giá trong pool thanh khoản.
2. Thiếu xác thực trạng thái tạm dừng, có thể dẫn đến việc vẫn có thể giao dịch trong trạng thái tạm dừng.
3. Chuyển đổi kiểu dữ liệu có thể dẫn đến lỗi tính toán khi giao dịch lớn.

Báo cáo kiểm toán của Zellic

Zellic đã tải lên báo cáo kiểm toán vào tháng 4 năm 2025, phát hiện 3 rủi ro thông tin, tất cả đều chưa được khắc phục:

1. Một câu hỏi ủy quyền, cho phép bất kỳ ai gửi phí vào tài khoản đối tác.
2. Một hàm đã bị loại bỏ nhưng vẫn được trích dẫn, tồn tại sự dư thừa mã.
3. Một vấn đề hiển thị UI trong dữ liệu NFT

Những vấn đề này chủ yếu liên quan đến sự tuân thủ mã, rủi ro thấp.

Cần lưu ý rằng MoveBit, OtterSec và Zellic đều là các tổ chức chuyên thực hiện kiểm toán mã Move.

Kiểm toán và mức độ an toàn

So sánh các biện pháp an ninh của một số dự án DEX mới hơn:

• GMX V2: 5 công ty kiểm toán, tối đa 500 triệu đô la tiền thưởng cho lỗ hổng
• DeGate: 35 công ty kiểm toán, thưởng lỗi lên tới 111 triệu đô la
• DYDX V4: 1 công ty kiểm toán, thưởng lỗi tối đa 500 triệu đô la
• Hyperliquid: Tự kiểm tra, tối đa 1 triệu đô la phần thưởng cho lỗi
• UniversalX: 2 công ty kiểm toán
• GMGN: Không tìm thấy báo cáo kiểm toán, thưởng lỗi lên đến 10.000 đô la

Kết luận

Thậm chí những dự án DEX như Cetus đã trải qua nhiều cuộc kiểm toán từ các tổ chức khác nhau cũng có thể bị tấn công. Việc kiểm toán nhiều bên kết hợp với chương trình thưởng lỗi cao hoặc cuộc thi kiểm toán có thể tương đối nâng cao tính an toàn. Tuy nhiên, đối với các giao thức DeFi mới nổi, nếu những vấn đề phát hiện trong quá trình kiểm toán không được khắc phục hoàn toàn, vẫn có rủi ro tiềm ẩn. Do đó, việc theo dõi sát sao tình hình kiểm toán mã nguồn của các dự án DeFi mới là rất quan trọng.