我来解释一下sui的这两个BUG吧。 先说一下第一个漏洞是怎么来的。 漏洞一：gas计算溢出漏洞 sui推出了稳定币转账免费后，在Gas的计算上出现了问题，导致了溢出漏洞。 Sui 在处理 Gas时，为了节省存储和计算，会对地址的余额做 pruning，也就是把一些不再需要的余额记录清理掉。 但是，当一笔交易因为资金不足，而提前 abort 时，系统仍然对那个地址做pruning。此时地址的余额已经不足了，再去计算gas就会发生一个溢出bug，让执行引擎状态不一致，共识节点无法产生区块。 漏洞二：恶意字符串导致DOS攻击 第一个漏洞使用了一个热补丁修复，第二个漏洞我觉得完全是安全审计部门粗心了。 在sui-indexer-alt-graphql，代码会直接把客户端请求头里的 SDK version拿来作为 Prometheus 的 label 使用。 虽然做了一些简单清理，但没有做白名单限制，恶意客户端可以随意使用各种字符串构造version。比如我们的版本是1.7.2，这个是正常的请求，但是恶意客户端可以随意编辑任意字符串当做版本号。 然后Prometheus 的 label 数量可以无限扩大，直到所有节点的服务器宕机。 目前修复方案是做了一个白名单的验证。 第一次宕机是设计缺陷，那么第二次就是黑客攻击。估计哪个黑客提前开了空单，就是为了给sui弄宕机。 总结：我看你们的代码都是Claude直接vibe coding后提交的，那么庞大的项目，不应该只是完全依靠AI。应该多个AI模型批量检测后，人工做最终校验去提交。(0xarthur.sui)