原文标题：《暴涨的Sui势头强劲，准备打响Move生态的第一炮？》
撰文：Beosin
2024 年，暴涨的 Sui 势头强劲，打响了 Move 生态的第一炮。
首先是近一周暴涨接近 70%，让市场再次关注到这个 Move 系的亮眼之星，据 DefiLlama 数据，Sui TVL 已达 3.27 亿美元，24 小时涨幅 6.76%，过去 7 日上涨 73.19%。当前其链上 TVL 排名前三位的协议分别为：Cetus（6244 万美元）、NAVI Protocol（6142 万美元）以及 Scallop Lend（5496 万美元）。
作为 Move 生态的重要一员，Sui 致力于促进数字资产的安全、互操作性和可持续发展。今天，跟随 Beosin 研究团队的安全视角，再次看看 2024 年 Sui 还有哪些机会。
势头强劲的 Sui，是 Solana Killer 还是 ETH Killer?
Sui 是由 Mysten Labs 打造的一条高性能公链，使得开发人员能在 Sui 上构建低延时，高吞吐量的应用。Mysten Labs 由原 Facebook 的 Novi 项目负责人 Evan Cheng 创立，在 2021 年 12 月融资 3600 万美元，之后在 2022 年 9 月以超过 20 亿美元的估值融资 3 亿美元。
Sui 的特点是采用以对象为核心的数据模型。每个对象会存储一个全局的，唯一的 ID、一份所有者的元数据、一个版本号 (version：每次该对象被调用后会加 1) 和二进制规范序列化数据 (Binary Canonical Serialization) ，如下图所示：
由于采用了对象的数据模型，Sui 可以根据不同交易中的对象是否互相依赖将交易进行分组，从而在不同的节点处理不同的交易，实现并行处理多笔交易。
Sui 将对象分为 owned object 和 shared object。
Owned object 使用场景有代币和 NFT。对于只包含 owned object 的交易，Sui 采用 Byzantine Consistent Broadcast (BCB) 共识算法来确认交易。BCB 共识算法可以简单理解为首先由验证者投票是否打包交易，然后交易发起者统计投票结果，再由验证者检验统计结果是否正确来决定是否打包交易。这一算法优点在于统计过程在客户端执行，减少了验证者节点之间的沟通时间，从而快速确认交易。
Shared object 使用场景为 DeFi、NFT 交易市场、游戏等需要与用户频繁交互的应用。对于包含 shared object 的交易，Sui 采用 Narwhal 和 Bullshark 协议进行排序和验证。Narwhal 是 Sui 的交易内存池，负责检查待处理的交易并生成一条有向无环图路径遍历这些交易。Bullshark 对某一特定的有向无环图遍历达成共识，从而确认这些交易的特定顺序。
基于以上的设计，目前 Sui 测试的 TPS 最高达到了 297,000，确认交易的时间约为 480ms，性能表现优异。
相比于 Solana 和以太坊，Sui 有哪些优势？
(1) 底层设计更安全
Sui 支持的 Move 智能合约需先进行字节验证随后再执行。Move 语言有内置的字节码验证器以检查资源、类型和内存安全。这样可以在执行合约前检查许多常见错误并且避免合约遭受恶意代码的攻击。
(2) 原生资源安全
Sui 以对象 (object) 为核心的数据模型允许开发者使用 copy、drop、store、key 这四个关键词对资源进行权限设置和编程，而 Solana 无原生的资源安全，资源安全由各个合约自行实现。
(3) 更注重用户安全
Sui 提供交易预执行服务，钱包服务提供商可以在预执行合约后将合约执行结果和合约权限告知用户，帮助他们在交互 dApp 时能够在签署交易前清楚地知道交易可能造成的后果，大大降低欺诈风险。
Sui 上的三剑客，还有哪些机会可以参与？
目前 Sui 头部项目有一站式 DeFi 项目 Cetus、借贷项目 NAVI Protocol 和 Scallop Lend，这三剑客占据 Sui 生态 50% 的 TVL。
1. Cetus
Cetus 设定的主要目标是开发灵活且强大的一级流动性网络，为 Aptos 和 Sui 的资产交易提供便利。该协议的目标是为 DeFi 生态系统中的消费者提供最好的交易体验和效率。它通过重点流动性协议以及一系列相关的可互操作操作模块来实现这一点。
Cetus - Empower liquidity. Built for DeFi.
目前部分流动性池子获得 Sui 官方的流动性激励，获得 CETUS 奖励的同时还可获得 SUI 代币奖励。
2. NAVI Protocol
NAVI Protocol 提供主流代币、稳定币和 CETUS 代币的借贷服务。NAVI 的创新功能，例如自动杠杆金库和隔离模式，使用户能够利用其资产并以最小的风险获得新的交易机会。NAVI 的设计为不同风险级别的数字资产提供了支持，同时其先进的安全功能确保了用户资金的保护和系统性风险的缓解。
https://app.naviprotocol.io/market
目前 NAVI 与 OKX DeFi 合作推出了代币额外加息服务，用户可存入 USDC 享受高达 35% 的 APY。其奖池总共为 50000USDC 和 100000CETUS，奖池领完即止。
3. Scallop Lend
Scallop Lend 是 Sui 生态第一大的借贷协议，也是第一个获得 Sui 基金会官方资助的 DeFi 协议。与 NAVI Protocol 类似，Scallop Lend 提供 8 种代币的借贷服务，并提供面向专业交易者的 SDK。在 2024 年 1 月 1 日 Scallop Lend 完成空投快照，空投第一阶段开启。
错过本次空投活动的用户可以继续使用 Scallop Lend 的借贷服务以获得 Scallop Lend 第二阶段的空投奖励。
Beosin 推出针对 Move 智能合约的安全审计服务
Beosin 与 Sui 的合作从去年已开始，此前 Beosin 安全团队发现了多个公链的漏洞。其中一个漏洞比较有意思，我们与 Sui 团队沟通后，征得同意可以将其详细信息公开。这是 Sui 公链 p2p 协议中的一个拒绝服务漏洞，该漏洞可导致 Sui 网络中的节点因内存耗尽而崩溃。这个拒绝服务漏洞是由一个古老的攻击方式引起的 ——“内存炸弹”，详情可阅读：《Beosin 发现 Move VM 严重级别漏洞：可导致 Sui、Aptos 等公链全网崩溃，甚至可能硬分叉》。
Move 合约可能出现的漏洞点
1） 开发者在使用 Aptos、Sui，或者其他基于 Move 的 blockchain 中独特的 Framework 进行开发时，应保持一定程度的安全意识，确保供应链安全。
2） 函数权限问题。对于一些函数调用的权限要仔细划分，因为一些关键函数会涉及到治理，严重的会影响到资金安全，针对这种函数调用需要对调用者进行鉴权。
3） 业务逻辑在设计和代码实现时，均需注意其中的逻辑问题。如一些 DeFi 项目关于闪电贷的实现，此前 Beosin 对 Move 版本的闪电贷进行了研究，详情可查看《Web3 技术研究 | Solidity 闪电贷实现方式与 Move 以及 Rust 闪电贷实现方式有何不同？》。
4） 关于 Move 系项目，在模块升级时需要注意代码的 owner 在初始部署后是不可改变的，且部署者的地址在部署后永远拥有升级权限。
Move 合约审计服务与审计项
Beosin 安全团队在 2022 年年底已推出针对 Move 智能合约的安全审计服务，旨在提前发现并协助项目方修复项目中的安全风险，保障用户与项目方的资产安全。其主要安全审计项包括：
- 溢出漏洞
- 重放攻击
- 不安全的随机数
- 交易顺序依赖
- 拒绝服务
- 访问控制
- 权限不当
- 业务设计
- 业务实现
- 可操纵的代币价格
- 套利攻击
- Gas 优化
- 第三方模块安全
- 能力安全
- 资源安全
- 升级安全
- 中心化风险
Beosin Move 智能合约安全审计服务的详细信息可查看《Beosin | 正式推出针对 Move 智能合约的安全审计服务，从安全角度看 Move 语言（上）》。
此外，Beosin 于 2023 年推出 Move Lint 静态检测工具，帮助开发者实现自动化发现合约中的潜在安全隐患，定位漏洞产生的位置，增强合约的安全性。详细介绍可查看《Beosin 推出 Move Lint 静态检测工具，通过最佳实践提高 Sui 公链智能合约开发的安全性》。
2024 年 Sui 会实现更快的增长吗？
Move 智能合约语言被设计为安全且可靠的，以避免一些传统智能合约语言（如 Solidity）中存在的漏洞和安全风险。这使得 Sui 的合约更加可信和安全，为用户提供了更好的保障。
Sui 在 2024 年开始发力，注重生态发展成为其打法之一，Sui 的总锁定价值（TVL）已达到 3.27 亿美元，显示出用户对该项目的信任和参与度，表明其生态系统的快速增长和用户的持续增加。此外，Sui 在非 EVM 链上 TVL 排名中位列前三，与其他协议如 Cetus、NAVI Protocol 和 Scallop Lend 一起，共同推动着 Move 生态系统的发展。
2024 年的 Sui 会起飞吗，我们拭目以待。
