Sui ujawnia przyczyny trzech zatrzymań sieci głównej po major aktualizacji sieci

Sieć mainnet Sui doświadczyła trzech oddzielnych awarii w dniach 28 i 29 maja, po tym jak wydanie sieci w wersji 1.72 ujawniło przypadki brzegowe w logice pobierania opłat za gaz oraz logice ponownego uruchamiania walidatorów — wynika z analizy poincydentalnej opublikowanej przez Sui Foundation. Fundacja poinformowała, że problemy zostały już rozwiązane, aktywność sieciowa wznowiona, a „żadne środki użytkowników nie były zagrożone".

Incydenty rozpoczęły się w czwartek, 28 maja, gdy sieć mainnet Sui zatrzymała się około godz. 16:00 czasu polskiego i pozostawała niedostępna do ok. godz. 22:30. Kolejna awaria nastąpiła w piątek rano, zaczynając się ok. godz. 14:00 czasu polskiego i kończąc ok. godz. 17:30. Trzecie zatrzymanie rozpoczęło się w piątek po południu, ok. godz. 22:30 czasu polskiego, i zostało rozwiązane ok. godz. 4:20 w nocy czasu polskiego.

Według fundacji pierwsze dwie awarie wynikały z błędów powodujących awarie (crash bugs), związanych z interakcją między logiką pobierania opłat za gaz a aktualizacją Sui 1.72, która wprowadziła salda adresów. Trzecia awaria była odrębna — została wywołana podczas zaplanowanej zmiany epoki, gdy ponowne uruchomienia walidatorów ujawniły ukryty błąd w sposobie zachowywania stanu losowości.

„Podczas awarii żadne środki użytkowników nie były zagrożone, a sieć nie cofnęła żadnych zatwierdzonych transakcji po wznowieniu działania" — oświadczyła Sui Foundation. „Na chwilę obecną walidatorzy w pełni usunęli znane problemy spowodowane zarówno pierwotnym błędem pobierania opłat za gaz, jak i błędem stanu losowości, a aktywność sieciowa została wznowiona."

Błąd pobierania opłat za gaz w Sui wywołał pierwsze zatrzymania

Pierwszy problem dotyczył nowej funkcji salda adresu w Sui, która pozwala użytkownikom przechowywać środki i płacić za gaz bez polegania wyłącznie na obiektach monet. Transakcje w Sui mogą opłacać gaz poprzez salda adresów, obiekty monet lub hybrydową strukturę łączącą oba podejścia.

Przypadek brzegowy pojawił się w tej hybrydowej ścieżce gazu. Gdy transakcja próbowała pobrać środki z salda adresu, które nie mogło pokryć konkurujących transakcji, harmonogram poprawnie anulował ją z błędem InsufficientFundsForWithdraw. Jednak później, podczas gas smashing — procesu łączenia wejściowych monet w jedną monetę płacącą za gaz — ta sama rezerwacja mogła nadal próbować ponownie obciążyć środki.

W wyjaśnieniu fundacji awaria nie nastąpiła bezpośrednio podczas gas smashing, lecz podczas rozliczenia, gdy delty salda były uzgadniane przez transakcję systemową. Ujemna delta zastosowana do zerowego salda spowodowała niedomiar (underflow).

Natychmiastowa naprawa była koncepcyjnie prosta: unikać gas smashing, gdy transakcja jest anulowana z błędem InsufficientFundsForWithdraw. Walidatorzy zastosowali tę poprawkę w czwartek, przywracając sieć do działania. Fundacja przyznała jednak, że poprawka była tymczasowym środkiem, wybranym w celu przywrócenia sieci, podczas gdy inżynierowie opracowywali pełniejsze rozwiązanie.

„Zmiana logiki gazu jest delikatną operacją" — napisała fundacja. „Jak wyjaśniono powyżej, między saldami adresów a monetami zachodzą skomplikowane interakcje. Poza naprawianiem błędów, zmiany logiki gazu muszą zachowywać wszystkie poprzednie zachowania lub stosować odpowiednie bramkowanie wersji."

Ta tymczasowa poprawka zawierała znane słabe miejsce. Jeśli transakcja miała wiele powodów anulowania, inny błąd mógł zamaskować warunek InsufficientFundsForWithdraw. Gdy to nastąpiło w piątek rano, oryginalna ścieżka niedomiaru mogła zostać ponownie osiągnięta, powodując drugie zatrzymanie.

Zmiana epoki ujawniła błąd stanu losowości

Trzecia awaria nastąpiła po tym, jak sieć wznowiła normalne działanie w piątek rano. Przy następnej zaplanowanej zmianie epoki walidatorzy nie zdołali ukończyć przejścia z powodu błędu związanego z protokołem rozproszonego generowania kluczy Sui, czyli DKG, który inicjuje losowość dla transakcji zależnych od losowości on-chain.

Podczas wcześniejszego cyklu ponownych uruchomień uczestnictwo nie było wystarczające dla procesu DKG następnej epoki, więc losowość została wyłączona zgodnie z projektem. Problem polegał na tym, że werdykt o niepowodzeniu nie został zapisany na dysku. Gdy walidatorzy ponownie się uruchomili, wróciły one do działania bez zapamiętania, że DKG zakończyło się niepowodzeniem.

„Ponieważ walidatorzy nie pamiętały już, że DKG zakończyło się niepowodzeniem, żadne z dwóch zdarzeń nie mogło nastąpić, wstrzymana kolejka rosła, a logika końca epoki — która musi opróżnić tę kolejkę przed zamknięciem — czekała na DKG, które nigdy nie nadejdzie" — stwierdziła fundacja.

Naprawa składała się z dwóch części: utrwalenia statusu DKG między restartami oraz dodania mechanizmu umożliwiającego walidatorom zamknięcie zablokowanej epoki w skoordynowanym momencie. Mechanizm ten został użyty raz do zamknięcia dotkniętej epoki, po czym sieć przeszła do następnej epoki i przywrócono losowość.

Analiza poincydentalna przedstawiła awarie jako szerszą lekcję inżynierską dla Sui. Fundacja stwierdziła, że odporność na końcu epoki wymaga dalszych inwestycji, szczególnie w zakresie płynnej degradacji i operacyjnych mechanizmów wymuszonego zamknięcia. Stwierdziła również, że pobieranie opłat za gaz zasługuje na ten sam poziom rygoru co Move VM lub konsensus Mysticeti, biorąc pod uwagę jego interakcję z rozliczeniami, kontrolami zachowania wartości i harmonogramowaniem.

W chwili publikacji SUI był notowany po 0,8798 USD.