Sui 기반 수익률 거래 프로토콜인 Nemo가 이전에 식별된 감사받지 않은 코드의 취약점으로 인해 약 259만 달러의 손실을 입었습니다. 프로젝트 팀은 보안 문제를 적시에 적절히 해결하지 못하여 익스플로잇이 발생했음을 인정했습니다.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
주요 내용
-
Nemo는 감사받지 않은 코드를 악용한 해킹으로 259만 달러를 잃었습니다.
-
감사원 Asymptotic은 이전에 취약점을 지적했습니다.
-
프로젝트 팀은 보안 문제를 즉시 해결하지 못했습니다.
-
코드 배포 절차가 허술하여 감사받지 않은 코드가 푸시될 수 있었습니다.
-
취약한 코드가 배포된 후에 보안 업그레이드 절차가 구현되었습니다.
취약점 및 악용
해킹은 9월 7일에 발생했으며, 슬리피지를 줄이기 위해 설계된 기능의 결함을 악용했습니다. "get_sy_amount_in_for_exact_py_out"이라는 이 기능은 스마트 계약 감사원 Asymptotic의 완전한 감사 없이 온체인에 배포되었습니다. Nemo 팀은 "이 보안 문제를 적시에 적절히 해결하지 못했다"고 인정했습니다.
허술한 보안 절차
문제를 더욱 복잡하게 만든 것은 새 코드 배포에 단일 서명만 필요하여 개발자가 공개 없이 감사받지 않은 변경 사항을 푸시할 수 있었다는 점입니다. 개발자는 또한 배포를 위해 감사에서 제공된 확인 해시를 사용하지 않아 확립된 절차에서 벗어났습니다. 이 사건은 NFT 거래 플랫폼 SuperRare에서 발생한 73만 달러 익스플로잇과 같이 다른 DeFi 익스플로잇에서 나타난 패턴을 따르는데, 이는 표준 테스트로 예방할 수 있었던 기본적인 스마트 계약 버그 때문으로 알려졌습니다.
취약한 코드는 1월에 처음 배포되었으며, 이러한 사고를 예방할 수 있었던 업그레이드 절차는 4월에야 구현되었습니다. 이 업그레이드에도 불구하고 취약점은 이미 프로덕션 환경에 통합되어 있었습니다. Asymptotic은 8월 11일에 취약점에 대한 경고를 발행했지만, Nemo 팀은 다른 문제에 집중하고 있었고 익스플로잇이 발생하기 전에 조치를 취하지 못한 것으로 알려졌습니다.
Nemo의 대응 및 향후 계획
해킹에 대응하여 Nemo는 추가 손실을 방지하기 위해 프로토콜의 핵심 기능을 일시 중지했습니다. 팀은 여러 보안 회사와 적극적으로 협력하고 있으며 중앙 집중식 거래소에서 자산을 동결하는 데 도움이 되는 정보를 제공하고 있습니다. 패치가 개발되었으며 Asymptotic은 현재 새 코드를 감사하고 있습니다. 프로젝트는 플래시 론 기능을 제거하고 취약한 코드를 수정했으며 영향을 받는 값을 수정하기 위한 수동 재설정 기능을 도입했습니다. Nemo는 또한 토큰 경제 수준에서 부채 구조화를 포함하는 영향을 받는 사용자를 위한 보상 계획을 개발하고 있습니다.
Nemo 팀은 사용자들에게 사과하며 보안 및 위험 관리에서 "지속적인 경계"의 중요성을 배웠다고 밝혔습니다. 그들은 보안 조치를 강화하고 더 엄격한 프로토콜 제어를 구현할 것을 약속했습니다.
출처
-
감사원, 259만 달러 Nemo 해킹 전 문제 지적, 팀 인정, Cointelegraph.
이 기사는 AI 기반 기술의 지원을 받아 여러 신뢰할 수 있는 출처를 바탕으로 작성되었습니다. 최종 콘텐츠는 BlockzHub 편집팀에 의해 철저히 검토 및 편집되어 정확성, 명확성, 일관성을 보장합니다. 원본 보도 자료는 필요에 따라 적절히 출처를 명시합니다. 본 기사에 표현된 의견은 반드시 BlockzHub의 공식적인 견해나 입장을 반영하는 것은 아닙니다. 이 기사는 정보 제공 목적으로만 제공되며, 금융 또는 전문가의 조언으로 간주되어서는 안 됩니다. 투자는 위험을 수반하며, 투자 결정을 내리기 전에 반드시 자격을 갖춘 금융 전문가와 상담하시기 바랍니다.