2025 年 5 月 22 日，Cetus Protocol 在 Sui 公鏈上的去中心化交易所遭受重創性安全漏洞，約 2.6 億美元資金被盜，成為年度最大 DeFi 攻擊之一，同時引發市場對於新興區塊鏈網絡真正去中心化程度的質疑。
今次事件暴露了智能合約安全以及網絡治理結構上的嚴重漏洞，對投資者於新一代區塊鏈平台的信心產生深遠影響。
Cetus Protocol 今次的漏洞，是 2025 年第三大 DeFi 被黑事件，僅次於三月 Wormhole 跨鏈橋 3.4 億美元被盜及二月 Euler Finance 2.85 億美元事故。今次攻擊同時針對多個流動性池（liquidity pools），黑客利用協議自動做市合約未曾曝光的漏洞，合共超過 8 億美元資產受影響。
初步鑑證分析顯示，黑客採用複雜的即時借貸（flash loan）操控，配合重入攻擊，成功繞過協議常規安全機制。最少有 12 個不同流動性池資金被盜，目標資產包括 SUI、USDC 及包裝比特幣等高價值代幣。交易紀錄亦顯示整次攻擊於 47 分鐘內完成，反映攻擊者對系統架構有深入了解。
區塊鏈安全公司 CertiK 指出，今次漏洞利用結合價格預言機操控與智能合約邏輯缺陷，令黑客得以人為拉高資產價值，再進行大額提現。攻擊之複雜程度，顯示涉事者不僅通曉 Sui 共識機制，更精熟 Cetus Protocol 內部細節。
緊急應對 引爆去中心化爭議
Cetus Protocol 在事故發現兩小時內緊急叫停所有智能合約操作，此舉令外界對 Sui 網絡治理架構加以審視。儘管成功阻止額外高達 1.5 億美元損失，這種單方暫停操作的能力與 DeFi 剛性不可篡改的原則明顯衝突。
是次緊急停機由 Sui 的驗證人網絡執行，而其現時活躍驗證人僅 127 個，相比以太坊超過 90 萬個驗證人有明顯分別。這種集中式設計雖提升決策效率，卻令人質疑可能存在單點故障或協調審查的風險。有評論認為，過度中心化的控制架構根本上動搖區塊鏈技術去信任基礎。
Sui Network 基金會由前 Meta 及 Move 語言開發主管領導，事後強調緊急措施為保障用戶資產所必需。然而，相關做法不禁令人聯想到傳統金融機構可以凍結賬戶及逆轉交易，引爆「安全與去中心化」之長期爭拗。
技術架構暴露系統性漏洞
Sui 區塊鏈採用獨特的 Narwhal-Bullshark 共識機制，透過有向無環圖（DAG）而非傳統區塊來處理交易。這設計雖提升吞吐率及降低延遲，但也產生嶄新攻擊面。Cetus 今次事件正是利用共識機制於交易驗證時的時序誤差，在多批交易中操縱狀態變化。
安全公司 Quantstamp 分析指出，攻擊成功在於 Sui 的「物件導向」數據模型：智能合約與可編程物件互動，而非單純帳號餘額。雖然提高了智能合約彈性，卻也令複雜性激增；Cetus 開發團隊未能徹底防護。黑客透過操控物件擁有權轉移，繞過傳統存取管制，暴露了以帳號為本安全架構的不適應之處。
事故亦觸發 Sui 生態大規模緊急安全審查，15 款以上 DeFi 協議全面暫停運作，正待全面安全審計。包括 Turbos Finance、Scallop Lend 及 Kriya DEX 等主要項目已落實預防措施，並邀安全公司深入檢視源碼，吸取今次教訓。
治理結構備受關注
深入分析 Sui 網絡的代幣分佈，揭示了嚴重中心化疑慮；這有助網絡可迅速作出回應，但卻削弱其去中心化公信力。Sui 背後公司 Mysten Labs 持有大約 18% 的 SUI 總供應，早期投資者及開發團隊另握 32%，治理權力明顯集中於少數參與者。雖加快決策，卻與區塊鏈倡議「分權自治」大相逕庭。
Sui 基金會治理框架僅需簡單多數驗證人權益就能通過協議更改，遠低於其他成熟網絡常見的超級多數門檻。這種設計雖令 Cetus 事件能快速採取緊急措施，但同時也顯示少數持份者有機會操控全網，為所欲為。
另一方面，社群治理參與度偏低——過去治理提案中，獨立參與地址不足 2,400 個，而活躍地址超過 18 萬。如此低參與率反映實際決策權力被資深驗證人及開發團隊壟斷，去中心化治理聲稱存疑。
歷史背景
Cetus Protocol 奪去 2025 年迄今 DeFi 合共損失超過 28 億美元的黑客事件名單中佔一席位。不過，與早前針對以太坊或 BSC 等傳統網路為主的攻擊不同，Cetus 突顯了新型區塊鏈架構獨有的高風險。
2016 年以太坊 DAO 事件，以及其後爭議性的硬分叉干預，為區塊鏈危機治理立下先例。但當年涉事社群討論歷時數周，遠較今次 Sui 網絡的高速、集中應對決策不同。Sui 這種快速干預過程雖保護了部分用戶資金，但治理架構更像傳統公司，而非分散共識。
近期 MIT 及 Stanford 的學術研究指出，鏈上性能優化往往與「真正去中心化」成反比，即 Sui 這類新興網絡或無可避免需在技術效率與分權治理間權衡。Cetus 事件正好反映這些理論擔憂於現實層面出現。
市場影響
Cetus 被黑即時觸發 Sui 生態連環震盪，SUI 幣宣佈事件後 24 小時內重挫 23%。整個 Sui DeFi 生態鎖倉總值由 12 億美元急降至 8.9 億美元，投資者爭先撤資以觀望安全審查。波及層面更擴展到 Aptos、Solana 等同類新公鏈，連帶跌勢。
原本正大舉佈局 Sui 生態的機構投資者亦重新評估各新鏈風險。主要資本 Andreessen Horowitz 發聲明重申網絡長遠潛力，但亦強調必須加強安全措施。不過，部分機構級 DeFi 基金暫停對 Sui 項目投資，直至安全審查結束為止。
事件亦影響 DeFi 風險保障協議，Nexus Mutual 及 InsurAce 發出理賠並調高 Sui 相關項目保費。未來針對新興區塊鏈的保險容量或變得更稀缺，因保險公司需重新評估這類實驗性協議的風險回報比。
最後思考
Cetus Protocol 被黑已受到金融監管機構密切關注。美國證監會近期針對 DeFi 平台之執法行動，重點環繞治理架構及由中心化勢力實質操控的去中心化聲稱。Sui 網絡今次展現的快速干預能力或進一步引發監管關注，究竟這類平台是否該按傳統金融基建標準納入銀行規管。
歐盟執行《MiCA》加密資產法規時，將治理中心化列為審視監管歸屬的關鍵因素。Cetus 事件或會促使相關新規更快出台，進一步... distinguish between truly decentralized protocols and those with centralized control mechanisms, potentially impacting how next-generation blockchain networks structure their governance systems.
區分真正去中心化的協議與帶有集中控制機制的協議，這可能會影響下一代區塊鏈網絡如何設計其治理系統。
The Cetus Protocol breach represents a critical inflection point for the Sui ecosystem and broader blockchain industry's evolution. While the incident exposed significant vulnerabilities, it also demonstrated the practical challenges of balancing security, performance, and decentralization in next-generation blockchain networks. The community's response to addressing centralization concerns while maintaining security capabilities will likely influence the development trajectory of similar platforms.
Cetus Protocol的安全漏洞事件，標誌著Sui生態系甚至更廣泛區塊鏈行業發展的一個關鍵轉捩點。雖然這次事件揭露了重要的漏洞，但同時亦展現出在新一代區塊鏈網絡中，如何在安全、性能與去中心化之間取得平衡的實際挑戰。社群如何同時關注集中化問題並維持安全防禦能力，預計將會左右同類平台未來的發展路向。
Sui Network has announced plans for a comprehensive governance review, including proposals to increase validator requirements, distribute governance tokens more broadly, and implement time delays for emergency interventions. However, implementing meaningful decentralization while preserving the performance advantages that distinguish Sui from competitors remains a complex technical and economic challenge.
Sui Network已經公佈將展開全面的治理審視計劃，當中包括提升驗證者的要求、更廣泛分發治理代幣，以及對緊急措施加入時延安排。不過，在確保真正去中心化的同時，保留Sui相對於其他競爭對手的性能優勢，依然是一個複雜的技術和經濟難題。