Das auf Sui basierende Yield-Trading-Protokoll Nemo hat aufgrund einer zuvor identifizierten Schwachstelle in ungeprüftem Code etwa 2,59 Millionen US-Dollar verloren. Das Team des Projekts hat zugegeben, das Sicherheitsproblem nicht rechtzeitig angemessen behoben zu haben, was zu dem Exploit führte.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Wichtige Erkenntnisse
-
Nemo verlor 2,59 Millionen US-Dollar bei einem Hack, der ungeprüften Code ausnutzte.
-
Ein Prüfer, Asymptotic, hatte die Schwachstelle zuvor gemeldet.
-
Das Projektteam versäumte es, das Sicherheitsproblem umgehend zu beheben.
-
Die Verfahren zur Code-Bereitstellung waren lax, was das Pushen von ungeprüftem Code ermöglichte.
-
Sicherheits-Upgrade-Verfahren wurden implementiert, nachdem der anfällige Code bereitgestellt wurde.
Die Schwachstelle und ihre Ausnutzung
Der Hack ereignete sich am 7. September und nutzte eine Schwachstelle in einer Funktion aus, die zur Reduzierung des Slippage entwickelt wurde. Diese Funktion mit dem Namen „get_sy_amount_in_for_exact_py_out“ wurde ohne vollständige Prüfung durch den Smart-Contract-Prüfer Asymptotic On-Chain bereitgestellt. Das Nemo-Team räumte ein, dass es „dieses Sicherheitsproblem nicht rechtzeitig angemessen behoben hat“.
Laxe Sicherheitsverfahren
Erschwerend kam hinzu, dass die Bereitstellung neuen Codes nur eine einzige Signatur erforderte, was dem Entwickler ermöglichte, ungeprüfte Änderungen ohne Offenlegung zu pushen. Der Entwickler versäumte es auch, den im Audit bereitgestellten Bestätigungs-Hash für die Bereitstellung zu verwenden, was von den etablierten Verfahren abwich. Dieser Vorfall folgt einem Muster, das bei anderen DeFi-Exploits zu beobachten war, wie dem 730.000 US-Dollar-Exploit auf der NFT-Handelsplattform SuperRare, der auf einen grundlegenden Smart-Contract-Fehler zurückgeführt wurde, der mit Standardtests hätte verhindert werden können.
Der anfällige Code wurde ursprünglich im Januar bereitgestellt, während das Upgrade-Verfahren, das einen solchen Vorfall hätte verhindern können, erst im April implementiert wurde. Trotz dieses Upgrades war die Schwachstelle bereits in die Produktionsumgebung integriert worden. Asymptotic hatte am 11. August eine Warnung bezüglich der Schwachstelle herausgegeben, aber das Nemo-Team konzentrierte sich Berichten zufolge auf andere Probleme und versäumte es, vor dem Exploit zu handeln.
Nemos Reaktion und Zukunftspläne
Als Reaktion auf den Hack hat Nemo die Kernfunktionen seines Protokolls pausiert, um weitere Verluste zu verhindern. Das Team arbeitet aktiv mit mehreren Sicherheitsfirmen zusammen und stellt Informationen zur Verfügung, um das Einfrieren von Vermögenswerten an zentralisierten Börsen zu unterstützen. Ein Patch wurde entwickelt, und Asymptotic prüft derzeit den neuen Code. Das Projekt hat seine Flash-Loan-Funktion entfernt, den anfälligen Code behoben und eine manuelle Reset-Funktion eingeführt, um betroffene Werte zu korrigieren. Nemo entwickelt auch einen Entschädigungsplan für betroffene Benutzer, der eine Schuldenstrukturierung auf Tokenomics-Ebene umfasst.
Das Nemo-Team hat sich bei seinen Benutzern entschuldigt und erklärt, dass es die Bedeutung „ständiger Wachsamkeit“ in Bezug auf Sicherheit und Risikomanagement gelernt hat. Sie haben zugesagt, ihre Sicherheitsmaßnahmen zu verbessern und strengere Protokollkontrollen zu implementieren.
Quellen
Dieser Artikel wurde mit Unterstützung KI-gestützter Technologie erstellt und basiert auf mehreren renommierten Quellen. Der endgültige Inhalt wurde von der Redaktion von BlockzHub sorgfältig geprüft und bearbeitet, um Genauigkeit, Klarheit und Kohärenz sicherzustellen. Originalquellen werden, sofern erforderlich und angemessen, entsprechend gewürdigt. Die in diesem Artikel geäußerten Meinungen spiegeln nicht notwendigerweise die offiziellen Ansichten oder Positionen von BlockzHub wider. Dieser Artikel dient ausschließlich Informationszwecken und stellt keine Finanz- oder Fachberatung dar. Investitionen bergen Risiken, und Sie sollten vor Anlageentscheidungen einen qualifizierten Finanzberater konsultieren.