Il protocollo di trading di rendimento basato su Sui, Nemo, ha perso circa 2,59 milioni di dollari a causa di una vulnerabilità precedentemente identificata nel codice non verificato. Il team del progetto ha ammesso di non aver affrontato adeguatamente la preoccupazione di sicurezza in modo tempestivo, portando all'exploit.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Punti chiave
-
Nemo ha perso 2,59 milioni di dollari in un attacco che ha sfruttato codice non verificato.
-
Un revisore, Asymptotic, aveva precedentemente segnalato la vulnerabilità.
-
Il team del progetto non è riuscito ad affrontare prontamente la preoccupazione di sicurezza.
-
Le procedure di deployment del codice erano lassiste, consentendo l'invio di codice non verificato.
-
Le procedure di aggiornamento della sicurezza sono state implementate dopo il deployment del codice vulnerabile.
La vulnerabilità e il suo sfruttamento
L'attacco è avvenuto il 7 settembre, sfruttando un difetto in una funzione progettata per ridurre lo slippage. Questa funzione, denominata “get_sy_amount_in_for_exact_py_out,” è stata deployata on-chain senza un audit completo da parte del revisore di smart contract Asymptotic. Il team di Nemo ha riconosciuto di non aver "affrontato adeguatamente questa preoccupazione di sicurezza in modo tempestivo."
Procedure di sicurezza lassiste
A complicare ulteriormente la questione, il deployment del nuovo codice richiedeva una sola firma, consentendo allo sviluppatore di inviare modifiche non verificate senza divulgazione. Lo sviluppatore non è riuscito inoltre a utilizzare l'hash di conferma fornito nell'audit per il deployment, deviando dalle procedure stabilite. Questo incidente segue un modello visto in altri exploit DeFi, come l'exploit da 730.000 dollari sulla piattaforma di trading NFT SuperRare, che è stato attribuito a un bug di base nello smart contract prevenibile con test standard.
Il codice vulnerabile è stato inizialmente deployato a gennaio, mentre la procedura di aggiornamento che avrebbe potuto prevenire un tale incidente è stata implementata solo ad aprile. Nonostante questo aggiornamento, la vulnerabilità era già stata integrata nell'ambiente di produzione. Asymptotic aveva emesso un avviso sulla vulnerabilità l'11 agosto, ma il team di Nemo era presumibilmente concentrato su altre questioni e non è riuscito ad agire prima dell'exploit.
La risposta di Nemo e i piani futuri
In risposta all'attacco, Nemo ha messo in pausa le funzioni principali del suo protocollo per prevenire ulteriori perdite. Il team sta lavorando attivamente con diverse aziende di sicurezza e fornendo informazioni per aiutare a congelare gli asset sugli exchange centralizzati. È stata sviluppata una patch e Asymptotic sta attualmente verificando il nuovo codice. Il progetto ha rimosso la sua funzione di prestito flash, ha corretto il codice vulnerabile e ha introdotto una funzione di ripristino manuale per rettificare i valori interessati. Nemo sta anche sviluppando un piano di compensazione per gli utenti colpiti, che include la strutturazione del debito a livello di tokenomics.
Il team di Nemo si è scusato con i suoi utenti, affermando di aver imparato l'importanza della "vigilanza costante" nella sicurezza e nella gestione del rischio. Si sono impegnati a migliorare le loro misure di sicurezza e a implementare controlli di protocollo più severi.
Fonti
-
Revisore ha segnalato il problema prima dell'hack di Nemo da 2,59 milioni di dollari, il team ammette, Cointelegraph.
Questo articolo è stato creato con il supporto di una tecnologia basata sull'intelligenza artificiale, attingendo a molteplici fonti affidabili. Il contenuto finale è stato accuratamente revisionato e modificato dal team editoriale di BlockzHub per garantire accuratezza, chiarezza e coerenza. Le fonti originali delle informazioni vengono citate ove appropriato e necessario. Le opinioni espresse in questo articolo non rappresentano necessariamente le posizioni o i punti di vista ufficiali di BlockzHub. Questo articolo ha esclusivamente scopo informativo e non deve essere considerato come consulenza finanziaria o professionale. Investire comporta dei rischi ed è consigliabile consultare un consulente finanziario qualificato prima di prendere qualsiasi decisione di investimento.