Протокол для торговли доходностью Nemo на базе Sui потерял примерно 2,59 миллиона долларов из-за ранее выявленной уязвимости в непроверенном коде. Команда проекта признала, что не смогла своевременно устранить проблему безопасности, что привело к эксплойту.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Основные выводы
-
Nemo потерял 2,59 миллиона долларов в результате взлома, использующего непроверенный код.
-
Аудитор, Asymptotic, ранее указывал на эту уязвимость.
-
Команда проекта не смогла оперативно устранить проблему безопасности.
-
Процедуры развертывания кода были слабыми, что позволяло загружать непроверенный код.
-
Процедуры обновления безопасности были внедрены после развертывания уязвимого кода.
Уязвимость и ее эксплуатация
Взлом произошел 7 сентября, используя уязвимость в функции, предназначенной для уменьшения проскальзывания. Эта функция, названная «get_sy_amount_in_for_exact_py_out», была развернута в блокчейне без полного аудита аудитором смарт-контрактов Asymptotic. Команда Nemo признала, что они «не смогли адекватно и своевременно устранить эту проблему безопасности».
Слабые процедуры безопасности
Усугубляя проблему, развертывание нового кода требовало лишь одной подписи, что позволяло разработчику загружать непроверенные изменения без раскрытия информации. Разработчик также не использовал хэш подтверждения, предоставленный в аудите для развертывания, отклоняясь от установленных процедур. Этот инцидент соответствует схеме, наблюдаемой в других эксплойтах DeFi, таких как эксплойт на 730 000 долларов на торговой платформе NFT SuperRare, который был приписан базовой ошибке смарт-контракта, предотвратимой с помощью стандартного тестирования.
Уязвимый код был первоначально развернут в январе, в то время как процедура обновления, которая могла бы предотвратить такой инцидент, была реализована только в апреле. Несмотря на это обновление, уязвимость уже была интегрирована в производственную среду. Asymptotic выпустил предупреждение об уязвимости 11 августа, но команда Nemo, как сообщается, была сосредоточена на других проблемах и не предприняла действий до эксплойта.
Ответ Nemo и планы на будущее
В ответ на взлом Nemo приостановил основные функции своего протокола, чтобы предотвратить дальнейшие потери. Команда активно работает с несколькими охранными фирмами и предоставляет информацию для содействия замораживанию активов на централизованных биржах. Разработан патч, и Asymptotic в настоящее время проводит аудит нового кода. Проект удалил свою функцию мгновенного займа, исправил уязвимый код и ввел функцию ручного сброса для исправления затронутых значений. Nemo также разрабатывает план компенсации для пострадавших пользователей, который включает структурирование долга на уровне токеномики.
Команда Nemo принесла извинения своим пользователям, заявив, что они усвоили важность «постоянной бдительности» в вопросах безопасности и управления рисками. Они обязались усилить свои меры безопасности и внедрить более строгие протокольные контроли.
Источники
Эта статья была создана с поддержкой технологий, основанных на искусственном интеллекте, с использованием множества авторитетных источников. Финальный контент был тщательно проверен и отредактирован редакционной командой BlockzHub для обеспечения точности, ясности и согласованности. Оригинальные источники информации указаны, когда это необходимо и уместно. Мнения, выраженные в этой статье, не обязательно отражают официальные взгляды или позиции BlockzHub. Эта статья предназначена исключительно для информационных целей и не должна восприниматься как финансовый или профессиональный совет. Инвестирование связано с рисками, и перед принятием инвестиционных решений следует проконсультироваться с квалифицированным финансовым консультантом.