2025 年 5 月 22 日，Cetus 協議發生毀滅性安全漏洞，導致在 Sui 區塊鏈運行的去中心化交易所約 2.6 億美元資產遭盜竊，成為年度最大規模的 DeFi 安全事件之一，並引發有關新興區塊鏈網路真正去中心化本質的緊迫疑問。
此事件曝露了智能合約安全與網路治理架構上的重大漏洞，可能改變投資人對下一世代區塊鏈平台的信心。
Cetus 協議的漏洞為 2025 年第三大去中心化金融駭客事件，僅次於三月的 Wormhole 跨鏈橋（3.4 億美元）與二月的 Euler Finance（2.85 億美元）事件。這次攻擊同時鎖定多個流動性池，駭客利用協議自動做市商合約中的未知漏洞，該合約管理著超過 8 億美元的鎖倉資產。
初步鑑識分析顯示，該攻擊源自一種複雜的閃電貸操作，結合重入漏洞，繞過協議常規安全檢查。駭客從至少 12 個不同流動性池竊取資金，目標包括高價值的 SUI、USDC 和包裹比特幣等資產。交易紀錄顯示，整起勒索於 47 分鐘內透過連串協調交易完成，展現出攻擊者對協議架構的深入理解。
區塊鏈安全公司 CertiK 發現，該漏洞透過結合價格預言機操控與智能合約邏輯錯誤，讓攻擊者得以在提領大額資產前人為拉抬資產價值。攻擊手法之複雜，顯示幕後涉及熟稔 Sui 共識機制與 Cetus 協議細節的資深區塊鏈開發者。
即時應對引爆去中心化爭議
Cetus 協議於發現漏洞後兩小時內緊急中止所有智能合約運作，此舉雖成功防止額外約 1.5 億美元損失，卻也使外界對 Sui 網路治理架構的審視更加嚴厲。協議能單方面暫停運作，與去中心化金融強調的不可更改、不受阻擋的金融基礎設施原則相悖。
此次緊急關閉透過 Sui 的驗證者網路執行，該網僅有 127 個活躍驗證者，遠少於以太坊的 90 萬名驗證者。如此集中化的驗證結構雖便於迅速決策，但也引發單點失效與協同審查的疑慮。批評者認為，這類中心化控管機制根本上削弱了區塊鏈承諾的無信任特性。
由前 Meta 團隊領導、並開發 Move 程式語言的 Sui 基金會團隊，則為緊急措施辯護，稱其是保護用戶資產的必要手段。然而，他們的應對方式讓人聯想到傳統金融機構有能力凍結帳戶和逆轉交易，突顯安全與去中心化間長久以來的矛盾。
技術架構揭示系統性漏洞
Sui 區塊鏈採用名為 Narwhal-Bullshark 的共識機制，透過有向非週期圖而非傳統區塊處理交易。此設計雖提升吞吐量和降低延遲，卻也帶來安全研究人員尚在發現的新型攻擊面。Cetus 協議遭駭，就是利用一致性機制驗證交易時的時間差，讓攻擊者能在多重交易批次間操控狀態改變。
Quantstamp 分析顯示，漏洞攻擊利用了 Sui 物件導向資料模型，智能合約不是操控帳戶餘額，而是可程式化物件。雖然提升智能合約彈性，卻增加了複雜度，而 Cetus 開發團隊未能妥善把關。駭客透過操縱物件所有權轉移，以繞過傳統的權限控管，凸顯針對帳戶式鏈打造安全框架的不足。
目前 Sui 生態系已緊急展開安全檢討，至少有 15 個 DeFi 協議暫停運作，等待全面稽核。包括 Turbos Finance、Scallop Lend、Kriya DEX 在內的主要協議，也已即刻實施預防措施，由安全公司根據 Cetus 探索的經驗進行程式碼審查。
治理結構承受嚴格檢視
Sui 網路代幣分配分析顯示，存在嚴重中心化疑慮，這有助於網路迅速應對危機，但犧牲去中心化信譽。Sui 開發公司 Mysten Labs 持有約 18% 的 SUI 代幣，早期投資人及開發團隊再握有 32%。治理權力過度集中，在關鍵時刻確保決策效率，卻也與區塊鏈倡導的分散治理理念背道而馳。
Sui 基金會的治理框架規定，只需超過半數驗證者質押權重，即可變更協議，遠低於多數主流區塊鏈需超高門檻的標準。這門檻讓 Cetus 驚變時得以迅速應對，也讓少數持有者有可能操縱網路運作以謀取私利。
社群參與治理意願薄弱，近期提案僅有 2400 個獨立地址投票，但網路活躍地址超過 18 萬。這代表治理事實上由少數資金雄厚的驗證者與開發團隊主導，對其所說的去中心化治理正當性提出疑問。
歷史脈絡
Cetus 協議成為 2025 年眾多重大 DeFi 漏洞的一例，當年度共計損失已超過 28 億美元。不同於過往主要針對 Ethereum、BSC 這類主流鏈，本次事件凸顯新興高效區塊鏈架構面臨的獨特弱點。
2016 年的 DAO 事件，最終導致以太坊進行極具爭議的硬分叉，以追回資產，為之後安全危機下劇烈網路干預做了前例。但當時的去中心化社群辯論長達數週，與 Sui 此次快速而中心化的應對成強烈對比。Sui 這種方式，雖然及時保護用戶資產，治理結構卻更像傳統公司，相對於去中心化共識更為接近商業化決策。
近期 MIT 及 Stanford 的學術研究指出，區塊鏈效能優化和真正去中心化程度呈現負相關，新興鏈如 Sui 恐難兩全。Cetus 事件為這一理論提供了現實案例。
市場影響
Cetus 協議重大漏洞引發 Sui 生態即時市場波動，SUI 代幣在發布後 24 小時內急跌 23%。整體 Sui DeFi 生態鎖倉總值由 12 億美元縮水至 8.9 億，投資人待安全釐清後再度進場。更廣泛的影響亦觸及同類型新鏈，例如 Aptos、Solana 在事件發生時也受到波及下跌。
原本大舉投資 Sui 項目之機構投資人，亦開始重新檢視新興區塊鏈平台風險。 Andreessen Horowitz（a16z）等主要機構強調安全性的重要性並維持長期信心，但部分 DeFi 基金已暫停加碼投資，等待進一步安全審核。
事件同時重創為 DeFi 風險承保的保險協議，如 Nexus Mutual、InsurAce 等申報量暴增，對 Sui 生態投保方案調升保費。伴隨保險業者重新評估新鏈風險，類似 Sui 的新實驗性 DeFi 生態未來可能面臨承保能量減少。
最終思考
此次 Cetus 協議漏洞，已引起原本密切監督 DeFi 系統性風險的金融監管機構高度關注。美國證券交易委員會近期針對 DeFi 平台的執法，部分即集中於協議治理結構所帶來類中心化問題。Sui 協議迅速干預的能力，也可能讓其被視為傳統金融基礎設施而需受銀行監管。
歐盟正施行的 MiCA 加密資產法規，已將治理中心化納入監管依據。Cetus 事件或將促使相關監管框架加速落地。 distinguish between truly decentralized protocols and those with centralized control mechanisms, potentially impacting how next-generation blockchain networks structure their governance systems.
區分真正去中心化的協議與具有中心化控制機制的系統，這可能會影響下一代區塊鏈網路如何設計其治理架構。
The Cetus Protocol breach represents a critical inflection point for the Sui ecosystem and broader blockchain industry's evolution. While the incident exposed significant vulnerabilities, it also demonstrated the practical challenges of balancing security, performance, and decentralization in next-generation blockchain networks. The community's response to addressing centralization concerns while maintaining security capabilities will likely influence the development trajectory of similar platforms.
Cetus Protocol 漏洞事件標誌著 Sui 生態系以及更廣泛區塊鏈產業演進過程中的一個重要轉折點。這起事件儘管揭露了嚴重的漏洞，也展現了在新一代區塊鏈網路中，如何平衡安全性、性能以及去中心化實際面臨的困難挑戰。社群如何在維持安全能力的同時回應中心化疑慮，極有可能影響同類平台的發展走向。
Sui Network has announced plans for a comprehensive governance review, including proposals to increase validator requirements, distribute governance tokens more broadly, and implement time delays for emergency interventions. However, implementing meaningful decentralization while preserving the performance advantages that distinguish Sui from competitors remains a complex technical and economic challenge.
Sui Network 已經宣布將展開全面的治理審查規劃，其內容包括提高驗證者門檻、擴大治理代幣的分配範圍，以及針對緊急應變措施實施延遲機制。然而，在落實具體、有實質意義的去中心化同時，又要保有 Sui 相較於其他競爭者的效能優勢，依然是一項複雜的技術和經濟難題。