Le protocole de trading de rendement basé sur Sui, Nemo, a perdu environ 2,59 millions de dollars en raison d'une vulnérabilité précédemment identifiée dans un code non audité. L'équipe du projet a admis ne pas avoir traité adéquatement la préoccupation de sécurité en temps opportun, ce qui a conduit à l'exploit.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Points clés à retenir
-
Nemo a perdu 2,59 millions de dollars lors d'un piratage exploitant un code non audité.
-
Un auditeur, Asymptotic, avait précédemment signalé la vulnérabilité.
-
L'équipe du projet n'a pas réussi à traiter rapidement la préoccupation de sécurité.
-
Les procédures de déploiement de code étaient laxistes, permettant le déploiement de code non audité.
-
Des procédures de mise à niveau de sécurité ont été mises en œuvre après le déploiement du code vulnérable.
La vulnérabilité et son exploitation
Le piratage a eu lieu le 7 septembre, exploitant une faille dans une fonction conçue pour réduire le glissement. Cette fonction, nommée « get_sy_amount_in_for_exact_py_out », a été déployée sur la chaîne sans un audit complet de l'auditeur de contrats intelligents Asymptotic. L'équipe Nemo a reconnu qu'elle « n'avait pas traité adéquatement cette préoccupation de sécurité en temps opportun ».
Procédures de sécurité laxistes
Aggravant encore le problème, le déploiement de nouveau code ne nécessitait qu'une seule signature, permettant au développeur de pousser des modifications non auditées sans divulgation. Le développeur n'a pas non plus utilisé le hachage de confirmation fourni dans l'audit pour le déploiement, s'écartant des procédures établies. Cet incident suit un schéma observé dans d'autres exploits DeFi, tels que l'exploit de 730 000 $ sur la plateforme de trading NFT SuperRare, qui a été attribué à un bug de contrat intelligent basique, évitable avec des tests standard.
Le code vulnérable a été initialement déployé en janvier, tandis que la procédure de mise à niveau qui aurait pu prévenir un tel incident n'a été mise en œuvre qu'en avril. Malgré cette mise à niveau, la vulnérabilité avait déjà été intégrée dans l'environnement de production. Asymptotic avait émis un avertissement concernant la vulnérabilité le 11 août, mais l'équipe de Nemo était apparemment concentrée sur d'autres problèmes et n'a pas agi avant l'exploit.
Réponse de Nemo et plans futurs
En réponse au piratage, Nemo a mis en pause les fonctions principales de son protocole pour éviter de nouvelles pertes. L'équipe travaille activement avec plusieurs entreprises de sécurité et fournit des informations pour aider à geler les actifs sur les échanges centralisés. Un correctif a été développé, et Asymptotic audite actuellement le nouveau code. Le projet a supprimé sa fonction de prêt flash, corrigé le code vulnérable et introduit une fonction de réinitialisation manuelle pour rectifier les valeurs affectées. Nemo élabore également un plan de compensation pour les utilisateurs affectés, qui comprend une restructuration de la dette au niveau de la tokenomics.
L'équipe Nemo s'est excusée auprès de ses utilisateurs, déclarant avoir appris l'importance d'une « vigilance constante » en matière de sécurité et de gestion des risques. Ils se sont engagés à renforcer leurs mesures de sécurité et à mettre en œuvre des contrôles de protocole plus stricts.
Sources
-
L'auditeur a signalé le problème avant le piratage de 2,59 millions de dollars de Nemo, l'équipe l'admet, Cointelegraph.
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.