El protocolo de negociación de rendimientos basado en Sui, Nemo, ha perdido aproximadamente 2,59 millones de dólares debido a una vulnerabilidad previamente identificada en código no auditado. El equipo del proyecto ha admitido no haber abordado adecuadamente la preocupación de seguridad de manera oportuna, lo que llevó al exploit.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Puntos clave
-
Nemo perdió 2,59 millones de dólares en un hack que explotó código no auditado.
-
Un auditor, Asymptotic, había señalado previamente la vulnerabilidad.
-
El equipo del proyecto no abordó la preocupación de seguridad con prontitud.
-
Los procedimientos de despliegue de código eran laxos, permitiendo que se subiera código no auditado.
-
Los procedimientos de actualización de seguridad se implementaron después de que se desplegara el código vulnerable.
La vulnerabilidad y su explotación
El hack ocurrió el 7 de septiembre, explotando una falla en una función diseñada para reducir el deslizamiento. Esta función, llamada "get_sy_amount_in_for_exact_py_out", fue desplegada en la cadena sin una auditoría completa por parte del auditor de contratos inteligentes Asymptotic. El equipo de Nemo reconoció que "no abordaron adecuadamente esta preocupación de seguridad de manera oportuna".
Procedimientos de seguridad laxos
Complicando aún más el problema, el despliegue de nuevo código solo requería una única firma, lo que permitía al desarrollador subir cambios no auditados sin divulgación. El desarrollador tampoco utilizó el hash de confirmación proporcionado en la auditoría para el despliegue, desviándose de los procedimientos establecidos. Este incidente sigue un patrón visto en otros exploits de DeFi, como el exploit de 730.000 dólares en la plataforma de comercio de NFT SuperRare, que se atribuyó a un error básico de contrato inteligente prevenible con pruebas estándar.
El código vulnerable se desplegó inicialmente en enero, mientras que el procedimiento de actualización que podría haber prevenido tal incidente solo se implementó en abril. A pesar de esta actualización, la vulnerabilidad ya se había integrado en el entorno de producción. Asymptotic había emitido una advertencia sobre la vulnerabilidad el 11 de agosto, pero el equipo de Nemo, según se informa, estaba centrado en otros problemas y no actuó antes del exploit.
Respuesta de Nemo y planes futuros
En respuesta al hack, Nemo ha pausado las funciones principales de su protocolo para evitar mayores pérdidas. El equipo está trabajando activamente con múltiples empresas de seguridad y proporcionando información para ayudar a congelar activos en intercambios centralizados. Se ha desarrollado un parche y Asymptotic está auditando actualmente el nuevo código. El proyecto ha eliminado su función de préstamo flash, ha corregido el código vulnerable y ha introducido una función de reinicio manual para rectificar los valores afectados. Nemo también está desarrollando un plan de compensación para los usuarios afectados, que incluye la estructuración de la deuda a nivel de tokenomics.
El equipo de Nemo se ha disculpado con sus usuarios, afirmando que han aprendido la importancia de la "vigilancia constante" en la seguridad y la gestión de riesgos. Se han comprometido a mejorar sus medidas de seguridad e implementar controles de protocolo más estrictos.
Fuentes
-
Auditor señaló el problema antes del hack de Nemo de 2,59 millones de dólares, admite el equipo, Cointelegraph.
Este artículo fue creado con el apoyo de tecnología impulsada por IA, basándose en múltiples fuentes reputadas. El contenido final ha sido revisado y editado minuciosamente por el equipo editorial de BlockzHub para garantizar precisión, claridad y coherencia. Las fuentes originales de los informes se citan siempre que sea apropiado y necesario. Las opiniones expresadas en este artículo no representan necesariamente los puntos de vista o posiciones oficiales de BlockzHub. Este artículo tiene únicamente fines informativos y no debe considerarse asesoramiento financiero o profesional. Invertir implica riesgos, y se recomienda consultar a un asesor financiero calificado antes de tomar decisiones de inversión.