U svibnju 2025. godine decentralizirana burza (DEX) Cetus na Sui blockchain mreži pretrpjela je težak sigurnosni incident – napadač je iskoristio ranjivost u pametnim ugovorima i ukrao kriptovalute vrijedne preko 220 milijuna USD. Cetus je vodeći DEX i pružatelj likvidnosti na Sui mreži, pa je ovaj događaj uzdrmao cijeli ekosustav. Uslijed napada zaustavljeno je trgovanje na platformi, a vrijednost mnogih Sui-based tokena strmoglavila se (token CETUS pao je ~40%, a pojedini manji tokeni izgubili su preko 75% vrijednosti). U nastavku donosimo detaljnu analizu kako je do eksploita došlo, koja je ranjivost iskorištena, tko stoji iza Cetus protokola, te kako su tim i zajednica reagirali nakon incidenta. Sve stručne pojmove objasnit ćemo na jednostavan način, a na kraju članka pronaći ćete savjete kako se mali ulagači mogu zaštititi od sličnih rizika.

Što je Cetus i zašto je važan?

Cetus Protocol je decentralizirana razmjena izgrađena na Sui blockchainu (također djeluje i na Aptos mreži) koja primjenjuje model koncentrirane likvidnosti (CLMM) – slično konceptu Uniswap V3. To znači da pružatelji likvidnosti mogu koncentrirati svoje tokene u određenim rasponima cijena kako bi efikasnije omogućili zamjene. Od lansiranja Sui mreže u svibnju 2023., Cetus je postao najveći DEX i likvidnosni protokol na Sui mreži, s velikim brojem korisnika i token-parova. Platforma je permissionless (svatko može otvoriti novi bazen likvidnosti ili integrirati protokol) i open-source. Podržana je od strane poznatih investitora i fondova – u ranim rundama ulagali su, između ostalih, Jump Crypto, Animoca Brands, OKX Ventures pa čak i Sui Foundation – što govori o njezinu značaju unutar Sui ekosustava. Naravno, takva popularnost čini je i primamljivom metom za hakere.

Prethodne sigurnosne mjere: Prije ovog incidenta, tim Cetusa naglašavao je sigurnost protokola. Kôd pametnih ugovora bio je auditan (provjeren) od strane vanjskih tvrtki za sigurnost (točno ime revizora nije objavljeno na web-stranici, ali stoji oznaka "Audited by ..."). Također, implementiran je dvojni orakl sustav za cijene: interni on-chain orakl baziran na podacima iz concentrated liquidity bazena, uz integraciju vanjskog orakla Pyth Network. Cilj toga bio je osigurati pouzdane tržišne cijene i umanjiti rizik manipulacije cijenama. Uz to, Cetus je imao program bug bounty za pronalazače grešaka, što sugerira da su bili otvoreni za proaktivno otkrivanje propusta. Unatoč tim mjerama, došlo je do incidenta koji je pokazao da ni rigorozne provjere ne mogu jamčiti potpunu sigurnost – jedna skrivena greška u kodu bila je dovoljna za katastrofu.

Kako je došlo do eksploita?

Napad na Cetus odvijao se kroz nekoliko koraka, iskorištavajući logičku grešku u pametnom ugovoru za likvidnosne bazene. Pojednostavljeno objašnjenje slijedi u nastavku:

1. Kreiranje “lažnih” tokena: Napadač je prvo stvorio ili iskoristio bezvrijedne tokene (tzv. spoof tokens) – digitalne kovanice koje nemaju tržišnu vrijednost niti priznatu cijenu na otvorenom tržištu. Ti tokeni mogli su biti potpuno novi memecoini s praktički nultom likvidnošću (npr. u izvještajima se spominju nazivi poput BULLA ili čak humoristički TOILET token) koje je napadač kontrolirao.
2. Manipulacija cijene u bazenu likvidnosti: Potom je iskoristio ranjivost u kodu Cetusovog likvidnosnog bazena. U normalnim okolnostima, kad netko doda likvidnost u bazen (recimo par SUI/USDC ili SUI/neki token), protokol izračuna koliki udio bazena ta likvidnost predstavlja i izdaje odgovarajući broj LP tokena (tokenski “dokaz” udjela). Međutim, u Cetusovom kodu je postojao bug (greška u zaokruživanju brojeva) koji je napadač otkrio. Prema analizama stručnjaka, ako bi se dodala vrlo mala količina tokena, algoritam bi zbog te greške pripisao više likvidnosnih udjela nego što bi smio. Drugim riječima, kad je napadač dodao 1 jedinicu svog bezvrijednog tokena, sustav mu je greškom dodijelio LP udio kao da je dodao 2 jedinice (otprilike dvostruko više). Ta matematička greška zvuči trivijalno, ali imala je ogroman učinak – napadač je praktički iz ničega stvorio lažni višak vrijednosti u bazenu.
3. Iskrivljenje rezervi i cijena: Kroz ovaj postupak, napadač je uspio iskriviti omjer rezervi u bazenu i time lažno napuhati cijenu svog bezvrijednog tokena u odnosu na prave tokene. Protokol Cetus tretirao je te tokene kao da su vrijedni, što je značilo da je računao da bazen sada sadrži veliku vrijednost (jer je bezvrijedni token bio unesen u znatnoj količini, a greška je multiplicirala efekt). Primjerice, moguće je da je u bazen ubacio neku sitnu količinu SUI ili USDC zajedno s ogromnom količinom svog tokena, čime je interni orakul izvukao zaključak da taj novi token vrijedi astronomsku cifru po komadu. Tako je stvorena situacija u kojoj napadač kontrolira tečaj unutar bazena – zamislite da jedan “lažni” token vrijedi koliko i 1000 pravih SUI samo zbog odnosa u bazenu!
4. Zamjena lažnih za prave tokene i pražnjenje bazena: Iskrivljene cijene omogućile su napadaču da mijenja svoje bezvrijedne tokene za prave vrijedne tokene na DEX-u. Nakon što je “uvjerio” pametni ugovor da su njegovi tokeni iznimno vrijedni, napadač ih je jednostavno zamijenio (swapao) za svu raspoloživu pravu imovinu iz bazena – uz minimalan trošak. Drugim riječima, dao je bezvrijedne tokene, a zauzvrat povukao SUI, USDC i druge vrijedne tokene iz bazena. Ovaj proces vjerojatno je ponovio više puta i na više različitih bazena. Izvještaji pokazuju da je istovremeno napadnuto više likvidnosnih bazena vezanih uz SUI – praktički “svi LP bazeni denominirani u SUI” bili su kompromitirani. Napadač je koordiniranim transakcijama u kratkom roku isisao likvidnost iz glavnih trgovinskih parova (npr. bazen SUI/USDC pretrpio je gubitak oko 11 milijuna USD, a bazeni raznih manjih meme tokena su potpuno ispražnjeni). Likvidnost je presušila, što je uzrokovalo drastičan pad cijena tih tokena – mnogi su izgubili 80%+ vrijednosti u sat vremena jer više nije bilo sredstava u bazenima za održavanje cijene.

Napad se odigrao iznimno brzo. On-chain podaci pokazuju da je Cetus 22. svibnja obradio transakcije u vrijednosti od gotovo 3 milijarde USD, dok je dan ranije taj volumen bio oko 320 milijuna – ta eksplozija aktivnosti zapravo je likvidacija bazena koju je izveo napadač. Za bolju intuiciju što se dogodilo, prenosimo i slikovitu usporedbu stručnjaka: “Zamislite da dođete na sajam igračaka s lažnim igračkama koje izgledaju vrijedno, zamijenite ih za prave kolekcionarske igračke i pobjegnete.” Upravo to se dogodilo na Sui – napadač je unio bezvrijedne “žetone” i zamijenio ih za prave.

Ranjivost pametnog ugovora: tehnički detalji

Ključ ove eksploatacije bila je logička greška (bug) u kodu pametnog ugovora za bazene likvidnosti, točnije u funkciji koja računa udjele prilikom dodavanja ili oduzimanja likvidnosti. Stručnjaci iz sigurnosne firme Hacken otkrili su da se napad ostvario uz vrlo malu injekciju likvidnosti koja je izmanipulirala interno stanje bazena. Greška se odnosila na zaokruživanje malih vrijednosti i rukovanje tokenima s ne-standardnim decimalama. Na Sui mreži, neki tokeni mogu imati drugačiji broj decimalnih mjesta (čak potencijalno i 0 decimala), što je vjerojatno bio slučaj s tokenima koje je napadač koristio. Hackenov CTO Alex Horlan naglasio je da bi tim Cetusa trebao provjeriti funkcije addLiquidity, removeLiquidity i swap – posebno dijelove gdje se računaju omjeri tokena, zaokružuju male vrijednosti i tretiraju tokeni s 0 decimala. Drugim riječima, čini se da je napadač pronašao upravo takav scenarij u kojem računanje udjela nije bilo točno.

Prema detaljnoj analizi zajednice, radilo se o bugu u formuli za preračun LP tokena: kada bi se dodala izrazito mala količina tokena u bazen, algoritam bi zbog greške pripisao pretjerano velik udio. U jednom komentaru navodi se: “Cetus je krivo računao LP udio – ako biste dodali 1 token, ponekad bi vam dao udio kao da ste dodali 2”. To znači da je napadač mogao iz ničega udvostručiti svoj ulog na papiru, a zatim kroz povlačenje likvidnosti uzeti dvostruko više pravih sredstava nego što bi smio. Ovakav bug direktno je suprotan logici DeFi protokola – omogućio je uzimanje veće vrijednosti nego što se unijelo, što je recept za katastrofu.

Važno je razumjeti da su orakuli (cjenovni feedovi) protokola također zakazali u ovom slučaju. Cetusov interni orakul, koji inače prati cijene iz aktivnosti unutar bazena, bio je prevaren ovim manipulacijama i prikazivao je nerealne cijene, a vanjski Pyth orakul očito nije bio integriran na način da spriječi ovu vrst manipulacije. Iz tima Cetus prvo su se oglasili na Discordu tvrdeći da “platforma nije hakirana, već da su otkrili bug u orakulu”, što upućuje da su i sami shvatili da je mehanizam za određivanje cijena zakazao. Na kraju, ispostavilo se da je greška u logici pametnog ugovora dopustila ekstreme u internom orakulu. Očekivalo se da će orakul ograničiti ovakve nepravilnosti (jer normalno velike skokove cijena limitiraju arbitraža ili vanjski feedovi), no ovdje to nije spriječeno. Neki promatrači istaknuli su da je napadač možda koristio i flash-loan (brzi zajam unutar jedne transakcije) kako bi osigurao inicijalnu likvidnost za izvođenje napada. Iako Sui ekosustav nema razvijene flash loan servise kao Ethereum, moguće je da je napadač posudio određena sredstva s druge platforme ili iskoristio vlastiti kapital kako bi započeo eksploataciju, te sve izveo u sklopu koordiniranih transakcija.

Reakcija tima Cetus i Sui zajednice

Odmah nakon otkrivanja abnormalnih transakcija, tim Cetus protokola reagirao je brzo: zaustavili su sve funkcije pametnog ugovora (hitno “pauziranje” kontrakta) kako bi spriječili daljnje odljeve sredstava. Na službenom X/Twitter profilu potvrdili su da je došlo do incidenta i da je ugovor pauziran radi sigurnosti. U suradnji s drugim timovima na Sui mreži i samom Sui Foundation, krenuli su u izvanrednu akciju spašavanja.

Ključni korak bio je angažirati Sui validatore – računala/nodove koji održavaju Sui blockchain. Validatori su zajednički identificirali adrese povezane s napadačem te su postigli konsenzus da ignoriraju transakcije s tih adresa. Praktično, to znači da je većina mreže odlučila “zamrznuti” sredstva na tim adresama, odbijajući provesti ikakve prijenose koje napadač pokuša inicirati. Ovo je izvanredno rješenje – slično situaciji da banka zamrzne račun s ukradenim novcem – ali u decentraliziranom sustavu vrlo neuobičajeno. No, Sui mreža je relativno nova i oslanja se na manji broj validatora koji su bili koordinirani, što je omogućilo ovu intervenciju. Sui Foundation je izjavio: “Velik broj validatora identificirao je adrese sa ukradenim sredstvima te ignoriraju transakcije s tih adresa do daljnjeg”. Ovakav potez efektivno je onemogućio napadača da slobodno premješta veći dio plijena, slično zamrzavanju računa u tradicionalnim financijama.

Zahvaljujući toj akciji, tim Cetusa je izvijestio da je oko 160 milijuna USD od ukradenih sredstava “zamrznuto” i osigurano – planira se vratiti ih natrag u protokol. Napadač, međutim, nije ostao potpuno praznih ruku; uspio je izvući oko 60-ak milijuna USD prije nego što su ga blokirali. Unutar sat vremena od napada, oko 60 milijuna u tokenu USDC bilo je premošteno (bridged) na Ethereum mrežu i tamo pretvoreno u ETH. Prema podacima tvrtke Hacken, napadač je premostio najmanje 63 milijuna USD na Ethereum, a zatim u jednoj transakciji prebacio 20 000 ETH na novostvoreni wallet. Tih ~20k ETH (vrijednih oko 56 milijuna USD) predstavlja glavni dio ukradenih sredstava koji nije zamrznut na Sui mreži.

Tim Cetusa našao se u delikatnoj poziciji – kako vratiti ta sredstva i zaštititi korisnike. Osim tehničkih mjera, pribjegli su i pregovorima: ponudili su “bijelom hakeru” nagodbu. U javnoj objavi, Cetus tim se obratio direktno napadaču, ponudivši 6 milijuna USD nagrade (bounty) ako dobrovoljno vrati preostalih ~56 milijuna USD vrijednih ETH koje drži. To praktički znači da bi napadaču bilo oprošteno zadržati oko 10% plijena, bez pravnih posljedica, ukoliko vrati ostatak zajednici. Naglasili su da je ponuda vremenski ograničena, što je uobičajena taktika pritiska u DeFi hack situacijama. Do trenutka pisanja ovog teksta, nije poznato je li napadač odgovorio na tu ponudu ili vratio išta.

Reakcije zajednice bile su intenzivne. S jedne strane, mnogi su izrazili podršku timu Cetus i Sui ekosustava – primjerice, Changpeng “CZ” Zhao, osnivač Binancea, izjavio je na X-u: “Radimo što možemo da pomognemo Sui… Nimalo ugodna situacija. Nadam se da će se sve riješiti.”. Binance i druge mjenjačnice vjerojatno prate adrese napadača kako bi spriječile eventualnu likvidaciju ukradenih tokena preko centraliziranih platformi. Drugi projekti na Sui mreži također su reagirali oprezno – npr. Sui-based money-market protokol Scallop privremeno je zaustavio sve posudbe odmah nakon vijesti, kako se eventualni poremećaji ne bi prelili na njega. Projekti poput Haedal i Bluefin (koji su povezani sa staked SUI i DeFi uslugama na Sui) također su objavili da provjeravaju sigurnost svojih ugovora i privremeno zaustavljaju određene funkcije kako bi zaštitili korisnike.

S druge strane, incident je pokrenuo i rasprave o decentralizaciji Sui mreže. Činjenica da su validatori mogli zajednički “smrznuti” sredstva i blokirati adrese napadača za neke je znak da Sui nije dovoljno decentraliziran, jer takva koordinirana intervencija ne bi bila moguća na mrežama poput Bitcoina ili možda Ethereuma (barem ne bez većih posljedica). Kritičari su istaknuli da ovaj presedan pokazuje kako se na Sui u izvanrednim situacijama može cenzurirati transakcije, što dovodi u pitanje otpornost mreže na centralizirani utjecaj. Sui Foundation je odgovorila da je sigurnost korisnika prioritet te da je ovo bio izuzetan slučaj suradnje cijelog ekosustava kako bi se ograničila šteta korisnicima. Doista, zamrzavanje sredstava značilo je da većina opljačkanih tokena nije izgubljena zauvijek, što ublažava financijski udarac za ulagače i pružatelje likvidnosti.

U danima nakon napada, tim Cetus najavio je detaljnu istragu i plan oporavka. Prioritet im je zakrpati ranjivost (ispraviti bug u kodu) te pažljivo provjeriti sve ostale potencijalne slabe točke. Očekuje se objava post-mortem izvještaja koji će transparentno opisati uzrok propusta. Također, surađuju sa Sui timom i validatorima na vraćanju zamrznutih sredstava u originalne likvidnosne bazene. Tokeni koji su ostali na napadačevim Sui adresama (prema praćenju, napadačev wallet na Sui i dalje sadrži oko 12,9 milijuna SUI, ~5 milijuna u staked SUI, ~19,5 milijuna USDT i druge tokene) vjerojatno će biti restituirani kroz dogovor konsenzusom – moguće čak i putem hard forka ili posebnog transakcijskog pravila, ako bude potrebno. Ovo je prvi tako veliki incident na Sui mreži, pa će biti zanimljivo vidjeti kakva će trajna sigurnosna poboljšanja biti uvedena u odgovor.

Kuda su otišla ukradena sredstva?

Od približno 223 milijuna USD koliko je procijenjeno da je napadač uspio izvući, oko 162 milijuna USD je zaustavljeno na Sui (zamrznuto od validatora) i pod kontrolom je tima/protokola za povrat. To znači da je oko 60-61 milijun USD napadač uspio iznijeti s mreže prije nego što je sve stalo. Put tih sredstava rekonstruiran je putem javnih blockchain podataka:

• Bridging na Ethereum: Napadač je iskoristio cross-chain bridge (most za prijenos između lanaca) kako bi sa Sui mreže prebacio vrijednost na Ethereum mrežu. Precizni detalji kojim mostom je to obavljeno nisu javno objavljeni, ali Sui ima integracije s nekim mostovima (poput Wormhole, Multichain ili drugih). Na primjer, mogao je prebaciti USDC sa Sui na Ethereum – što bi značilo da je na Sui “spalio” USDC u zamjenu za mintanje ekvivalentnog USDC-a na Ethereum. Prema Hacken izvještaju, već tokom napada najmanje 63 milijuna USD vrijednosti je prebačeno na Ethereum.
• Konverzija u ETH: Jednom na Ethereumu, napadač se potrudio zamijeniti tokene u kriptovalutu ETH. Analitičari su uočili transakciju kojom je 20 000 ETH (oko 56 milijuna USD) poslan na jednu novu Ethereum adresu. Taj ETH je vjerojatno pribavljen zamjenom (swapom) USDC-a ili drugih tokena koje je napadač premostio. Razlog konverzije u ETH mogao bi biti pokušaj “pranja” sredstava – ETH se lakše rasprši kroz različite usluge (DEX-ove, miksere, itd.) nego stabilni coin koji je centraliziran (USDC izdaje kompanija koja može zamrznuti tokene na zahtjev, što je rizik za napadača). Doista, napadač je identificiran kako premješta sredstva na više adresa i vjerojatno koristi servise za zamagljivanje traga (mixere ili chain-hopping strategije). Svaka daljnja kretnja se budno prati od strane forenzičkih timova.
• Stanje napadačevih walleta: U trenutku objave vijesti, glavna adresa povezana s napadom (na Sui strani) imala je oko 54 milijuna USD u SUI tokenima (oko 12,9 milijuna SUI) plus još stotine milijuna raznih bezvrijednih tokena koje je skupio iz bazena. No ti SUI tokeni i ostalo na Sui su praktički zarobljeni zbog validatora. Na Ethereum strani, adresa napadača posjeduje oko 20,9k ETH (56,3 milijuna USD) – to je upravo ona svota koju Cetus želi natrag i za koju nudi bounty. Taj ETH je sada najveći izazov: ako napadač ne pristane vratiti sredstva, on može pokušati razlomiti taj iznos i provući ga kroz “miksere” (poput Tornado Cash) ili preko DEX-ova zamijeniti za razne tokene te prebacivati na druge lance, sve u cilju otežavanja praćenja. Međutim, tako velike iznose je teško potpuno “opraniti” a da netko negdje ne primijeti. U prošlosti su mnogi DeFi hakeri nakon nekog vremena odlučili vratiti dio sredstava kako bi izbjegli pravne posljedice, pogotovo ako postane jasno da ne mogu lako unovčiti plijen. Ostaje za vidjeti hoće li se to dogoditi i ovdje.
• Plan povrata zamrznutih sredstava: Za onaj veći dio (162 milijuna USD) koji je ostao na Sui, očekuje se tehnički postupak vraćanja u protokol. Najvjerojatnije će se postići dogovor kroz Sui Foundation i validatore da se transakcije napadača proglase ništavnima i da se stanje likvidnosnih bazena vrati unatrag koliko god je to moguće. To se može postići patchanjem pametnog ugovora Cetusa kako bi se odblokirao uz nadzor ili čak kroz izvanredni hard fork ako bi baš trebalo. No vjerojatnije je da će se iskoristiti postojeća “pauza” kontrakta: tim će ažurirati kôd (ukloniti bug) i ponovno pokrenuti ugovor s početnim stanjem uz uključivanje vraćenih tokena koje drže validatori. Korisnici Cetusa zasad su zamoljeni za strpljenje i upozoreni da ne pokušavaju interakciju s platformom dok se ne izda službeno priopćenje.

Posljedice po Sui ekosustav

Ovaj događaj imao je trenutne negativne posljedice na povjerenje u Sui DeFi ekosustav. Osim dramatičnog pada cijena mnogih tokena vezanih uz Cetus (neki su praktički postali bezvrijedni preko noći jer im je likvidnost nestala), ukupna vrijednost zaključana (TVL) na Sui mreži pala je za oko 330 milijuna USD odmah nakon napada. To znači da su investitori povlačili sredstva iz drugih protokola zbog straha od sličnih propusta. Čak je i USDC stablecoin na Sui izgubio peg (vezanost) – trgovao se na DEX-u za znatno manje od 1 USD, jer jednostavno više nije bilo dolara u bazenima koji bi držali cijenu. Native token CETUS pao je ispod $0,15 (više od -24% u jednom danu), a i cijena SUI coina kratkoročno je pretrpjela pad (~7% dnevno) jer je tržište reagiralo na vijesti.

Ipak, u srednjem roku, ovakvi incidenti mogu dovesti i do pozitivnih promjena: veća pažnja posvetit će se sigurnosnim provjerama, auditi kôda bit će još rigorozniji, a razvojni timovi na Sui (pa i Aptosu, koji dijeli sličnu tehnologiju) pregledat će svoje pametne ugovore za slične greške. Zanimljivo, Aptos tim se brzo oglasio i potvrdio da Aptos ekosustav nije pogođen ovim propustom te da je problem bio specifičan za Sui implementaciju Cetus protokola. To sugerira da je kod za Sui i Aptos verzije možda razlikovan, ili su parametri na Sui (poput onih 0 decimala tokena) bili posebni. U svakom slučaju, razvojni inženjeri sad imaju dragocjeno (i skupo) iskustvo na temelju kojeg će učiti. Za Sui mrežu, koja se promovirala kao brza i moderna blockchain platforma, ovo je bio test decentralizacije i upravljanja krizom. Validatori su pokazali da mogu surađivati u izvanrednim situacijama, ali se i otvorila diskusija o granicama takve intervencije.

Lekcije i savjeti za male ulagače

DeFi pruža velike mogućnosti zarade, ali nosi i značajne rizike – što zorno pokazuje i ovaj incident na Cetusu. Mali ulagači koji sudjeluju u ovakvim protokolima trebaju biti svjesni opasnosti i poduzeti mjere za zaštitu svojih sredstava. Evo nekoliko savjeta proizašlih iz ove situacije:

• Diversificirajte rizik: Nemojte držati sav svoj kapital u jednom DeFi protokolu ili na jednoj lancu. Čak i ako jedan DEX nudi najviše prinose, uvijek postoji rizik od hakiranja ili kvara. Rasporedite sredstva na više platformi i projekata kako biste umanjili potencijalni gubitak u slučaju pojedinačnog incidenta.
• Provjerite audite i reputaciju: Prije nego što uložite likvidnost ili koristite usluge nekog DeFi protokola, provjerite je li kod auditan od strane nezavisnih tvrtki i postoji li bug bounty program. Istražite tko stoji iza projekta (npr. Cetus je imao ugledne investitore što ulijeva povjerenje, ali ni to nije jamstvo sigurnosti). Budite oprezniji s potpuno novim projektima na novim lancima – novije platforme češće imaju neotkrivene bugove.
• Pratite vijesti i reakcije: U DeFi svijetu informacije putuju brzo. Pratite službene kanale protokola (Twitter, Discord) i blockchain analitičare. U slučaju da krenu glasine o eksploitu ili neobičnom ponašanju (npr. nagli pad tokena na DEX-u), ne oklijevajte povući svoja sredstva dok se ne razjasni situacija. U ovom incidentu, mnogi tokeni su izgubili vrijednost prije nego su korisnici išta stigli poduzeti – no ponekad se znakovi mogu uočiti na vrijeme (npr. neuobičajeno visoki volumeni ili nagli pomaci cijena mogu biti alarm).
• Korištenje zaštitnih alata: Razmislite o DeFi osiguranju. Danas postoje osiguravateljski protokoli koji nude police protiv hakiranja pametnih ugovora. Premije mogu biti visoke, ali za veća ulaganja možda se isplate. Također, alati za praćenje portfelja i obavijesti (alertovi) mogu vam javiti ako vrijednost vaše imovine naglo pada, što može biti signal nekog incidenta.
• Budite svjesni rizika “novih” lanaca: Sui, Aptos i slične nove L1 mreže donose tehnološka poboljšanja, ali nemaju dugu povijest poput Ethereuma. Bugovi u kodu ili standardnim bibliotekama možda još nisu otkriveni. Ako ste među prvim korisnicima nove platforme, budite spremni na moguće “dječje bolesti” sustava. Ulažite onoliko koliko ste spremni izgubiti u najgorem scenariju.
• Pažnja na bridging rizike: Primijetili smo da je napadač iskoristio cross-chain most za bijeg. I za obične korisnike, mostovi predstavljaju dodatni rizik (mogu biti hakirani ili, kao ovdje, mogu se iskoristiti za bijeg sredstava). Izbjegavajte nepotrebno mostanje svojih tokena na malo poznate lance i natrag, jer time izlažete sredstva dodatnim točkama potencijalnog neuspjeha.

Na kraju, ova krađa na Cetus DEX-u, koliko god bila šokantna, pružila je vrijednu lekciju svim sudionicima kripto tržišta. Transparentnost i brza reakcija tima Cetus i Sui zajednice spriječili su veći kolaps povjerenja – većina ukradenih sredstava bit će vraćena, a bug će se ispraviti. No, povjerenje malih ulagača gradi se polako: potrebno je vrijeme bez incidenata da bi se povratilo. Kao ulagač, najbolje što možete učiniti jest educirati se o rizicima, pratiti razvoj situacije i uvijek imati strategiju za nepredviđene događaje. DeFi nudi financijsku slobodu, ali ona dolazi u paketu s odgovornošću za vlastitu sigurnost. Budite oprezni, informirani i spremni reagirati, i vaše iskustvo u ovakvim inovativnim financijama bit će sigurnije i uspješnije.

Mario Jaklenec