Sui tabanlı getiri ticareti protokolü Nemo, denetlenmemiş kodda daha önce tespit edilen bir güvenlik açığı nedeniyle yaklaşık 2,59 milyon dolar kaybetti. Proje ekibi, güvenlik endişesini zamanında yeterince ele almadığını ve bunun da istismara yol açtığını kabul etti.
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
Temel Çıkarımlar
-
Nemo, denetlenmemiş kodu istismar eden bir hack saldırısında 2,59 milyon dolar kaybetti.
-
Bir denetçi olan Asymptotic, güvenlik açığını daha önce işaretlemişti.
-
Proje ekibi güvenlik endişesini derhal gidermekte başarısız oldu.
-
Kod dağıtım prosedürleri gevşekti ve denetlenmemiş kodun yayınlanmasına izin veriyordu.
-
Güvenlik yükseltme prosedürleri, savunmasız kod dağıtıldıktan sonra uygulandı.
Güvenlik Açığı ve İstismarı
Hack, 7 Eylül'de, kaymayı azaltmak için tasarlanmış bir fonksiyondaki bir kusuru istismar ederek gerçekleşti. “get_sy_amount_in_for_exact_py_out” adlı bu fonksiyon, akıllı sözleşme denetçisi Asymptotic tarafından tam bir denetim yapılmadan zincir üzerinde dağıtıldı. Nemo ekibi, bu güvenlik endişesini zamanında yeterince ele almadıklarını kabul etti.
Gevşek Güvenlik Prosedürleri
Sorunu daha da karmaşıklaştıran bir diğer husus, yeni kodun dağıtımının yalnızca tek bir imza gerektirmesiydi; bu da geliştiricinin denetlenmemiş değişiklikleri açıklama yapmadan yayınlamasına olanak tanıyordu. Geliştirici ayrıca, dağıtım için denetimde sağlanan onay hash'ini kullanmayarak yerleşik prosedürlerden saptı. Bu olay, NFT ticaret platformu SuperRare'deki 730.000 dolarlık istismar gibi diğer DeFi istismarlarında görülen bir modeli takip ediyor; bu istismar, standart testlerle önlenebilecek temel bir akıllı sözleşme hatasına atfedilmişti.
Savunmasız kod başlangıçta Ocak ayında dağıtılmıştı, ancak böyle bir olayı önleyebilecek yükseltme prosedürü ancak Nisan ayında uygulandı. Bu yükseltmeye rağmen, güvenlik açığı zaten üretim ortamına entegre edilmişti. Asymptotic, 11 Ağustos'ta güvenlik açığı hakkında bir uyarı yayınlamıştı, ancak Nemo ekibinin başka konulara odaklandığı ve istismardan önce harekete geçemediği bildirildi.
Nemo'nun Yanıtı ve Gelecek Planları
Hack saldırısına yanıt olarak Nemo, daha fazla kaybı önlemek için protokolünün temel işlevlerini duraklattı. Ekip, birden fazla güvenlik firmasıyla aktif olarak çalışıyor ve merkezi borsalardaki varlıkların dondurulmasına yardımcı olmak için bilgi sağlıyor. Bir yama geliştirildi ve Asymptotic şu anda yeni kodu denetliyor. Proje, flash kredi işlevini kaldırdı, savunmasız kodu düzeltti ve etkilenen değerleri düzeltmek için manuel sıfırlama özelliği tanıttı. Nemo ayrıca, tokenomik düzeyde borç yapılandırmasını içeren, etkilenen kullanıcılar için bir tazminat planı geliştiriyor.
Nemo ekibi, güvenlik ve risk yönetiminde "sürekli uyanıklığın" önemini öğrendiklerini belirterek kullanıcılarından özür diledi. Güvenlik önlemlerini artırma ve daha sıkı protokol kontrolleri uygulama sözü verdiler.
Kaynaklar
-
Denetçi, 2,59 Milyon Dolarlık Nemo Hack'inden Önce Sorunu İşaretlemiş, Ekip Kabul Ediyor, Cointelegraph.
Bu makale, yapay zeka destekli teknolojinin yardımıyla oluşturulmuş ve birçok güvenilir kaynaktan yararlanılarak hazırlanmıştır. Nihai içerik, doğruluk, açıklık ve tutarlılığı sağlamak amacıyla BlockzHub editör ekibi tarafından titizlikle gözden geçirilmiş ve düzenlenmiştir. Orijinal haber kaynakları, uygun ve gerekli görüldüğünde belirtilmiştir. Bu makalede ifade edilen görüşler, BlockzHub'ın resmi görüş veya pozisyonlarını mutlaka yansıtmaz. Makale yalnızca bilgilendirme amaçlıdır ve finansal veya profesyonel bir tavsiye olarak değerlendirilmemelidir. Yatırım yapmak risk içerir; herhangi bir yatırım kararı vermeden önce nitelikli bir finansal danışmana danışmanız önerilir.