區塊鏈行業的信仰危機：Sui公鏈事件引發的深思

前言

近期發生的事件，反映了資本的勝利，而非用戶的利益。這對行業發展來說是一種倒退。

比特幣與新興公鏈的發展方向截然不同，每當出現動搖去中心化的行業舉動，都會引發人們對比特幣更加強烈的信仰。

世界需要的不僅僅是一套更完善的全球化金融基礎設施，更重要的是始終保持一個自由的空間。

回顧歷史，聯盟鏈曾一度比公鏈更受歡迎，正是因爲它滿足了那個時代的監管需求。如今聯盟鏈的式微，也意味着單純遵從監管需求並不能滿足真實用戶的需求。失去了被監管的用戶，監管工具又有何用？

1、事件回顧

2025年5月22日，某公鏈生態中最大的去中心化交易所遭遇黑客攻擊，造成巨大損失，超過2.2億美元的資金受到影響。流動性急劇下降，多個交易對價格崩潰。

事件發生後，相關方迅速採取了一系列措施：

• 交易所緊急暫停合約並發布公告
• 驗證節點採取行動，將黑客地址列入"拒絕服務黑名單"，凍結資金
• 開始修復漏洞並更新合約
• 啓動鏈上治理投票，討論是否執行協議升級以轉移黑客資產
• 投票結果顯示超過2/3驗證節點權重支持該提議
• 協議升級生效，指定交易被執行，黑客資產被轉移

2、攻擊原理簡析

攻擊者利用閃電貸借出大量代幣，造成交易池價格暴跌。隨後，攻擊者在極窄的價格區間創建流動性頭寸，放大了計算誤差對所需代幣數量的影響。

攻擊核心在於交易所用於計算所需代幣數量的函數存在整數溢出漏洞。攻擊者聲明添加巨額流動性，但實際只投入少量代幣。由於溢出檢測條件錯誤，系統嚴重低估了所需代幣數量，導致攻擊者以極小成本獲取巨量流動性。

技術層面上，這個漏洞源於智能合約中使用了錯誤的掩碼和判斷條件，導致大量數值都能繞過檢測。左移操作後高位數據被截斷，系統只收取極少代幣就認爲獲得了巨大流動性。

3、資金凍結機制

該公鏈內置了特殊的拒絕列表機制，實現了對黑客資金的凍結。此外，其代幣標準也包含"受監管代幣"模式，具有內置凍結功能。

本次緊急凍結利用了這一特性：驗證者節點在本地配置文件中快速添加了被盜資金相關地址。理論上每個節點運營者都可以自行修改配置更新黑名單，但爲確保網路一致性，基金會作爲最初的配置發布方進行了集中協調。

爲了後續轉回資金，團隊又推出了白名單機制補丁。這允許將特定交易預先加入"免檢名單"，使這些交易可以跳過所有安全檢查，包括籤名、權限、黑名單等。

需要注意的是，白名單補丁並不能直接轉移黑客資產；它只是賦予某些交易繞開凍結的能力，真正的資產轉移仍需合法籤名或額外系統權限模塊來完成。

4、資金回收實現原理

更令人驚訝的是，該公鏈不僅凍結了黑客資產，還計劃通過鏈上升級"轉移回收"被盜資金。

社區投票通過後，官方宣布被凍結的資金將無需黑客籤名被轉移到一個多簽錢包中。這種無需原持有者籤名的轉移方式在區塊鏈行業前所未有。

從技術實現上看，協議引入了地址別名機制。升級內容包括：在配置中預先指定別名規則，使得某些允許的交易可以將合法籤名視作來自黑客帳戶發送。

具體來說，將要執行的救援交易哈希列表與目標地址（即黑客地址）綁定。任何簽署並發布這些固定交易摘要的執行者都被視爲有效的黑客地址擁有者發起了交易。對這些特定交易，驗證者節點系統會繞過拒絕列表檢查。

5、觀點與思考

5.1 信仰的底線被突破

這次事件可能很快就會平息，但它所代表的模式不會被遺忘，因爲它顛覆了行業的基礎，打破了區塊鏈在同一帳本下不可篡改的傳統共識。

在區塊鏈設計中，合約就是法律，代碼就是裁判。但在這次事件中，代碼失效，治理幹預，權力凌駕，形成了"投票行爲裁決代碼結果"的模式。

5.2 與歷史上的"篡改共識"對比

回顧歷史，以太坊在2016年DAO事件後通過硬分叉回滾轉帳來彌補損失，導致了以太坊與以太坊經典的分裂。比特幣也曾在2010年通過緊急修復和升級共識規則來解決價值溢出漏洞。

這些都是採用硬分叉模式，將帳本回滾到問題發生前，用戶可以自行決定在哪套帳本體系下繼續使用。

相比之下，此次事件沒有選擇分裂鏈條，而是通過協議升級加配置別名的方式精準針對本次事件。這保持了鏈的連續性和大部分共識規則不變，但同時也表明底層協議可以被用來實施針對性的"救援行動"。

5.3 "Not Your Key, Not Your Coin"的終結？

從長遠來看，這意味着"Not your keys, not your coins"的理念在該鏈上被瓦解：即便用戶私鑰完整，網路仍可通過集體協議變更來阻止資產流動並重定向資產。

如果這成爲未來區塊鏈應對大型安全事件的先例，甚至被認爲是可以再次遵循的慣例，那麼"當一條鏈能爲了正義打破規則，它也就有了打破任何規則的前例。"

一旦有一次"公益搶錢"的成功，下次就可能是在"道德模糊地帶"的操作。

5.4 監管與區塊鏈的靈魂

從行業發展角度來看，我們需要思考：高效的中心化是區塊鏈發展的必經階段嗎？如果去中心化的最終目標是保障用戶利益，那我們能否容忍中心化作爲過渡手段？

在鏈上治理語境中，"民主"實際上是由代幣權重決定的。那麼如果黑客持有大量代幣或控制投票權，是否也可以"合法投票洗白自己"？

最終，區塊鏈的價值不在於能否凍結，而在於即便羣體有能力凍結，也選擇不這麼做。一條鏈的未來，不是由技術架構決定，而是由它選擇守護的那套信仰來決定。