Sui 生态收益交易协议 Nemo 因未经审计代码中先前发现的漏洞，损失了约 259 万美元。该项目团队承认未能及时充分解决安全问题，导致了此次攻击。
Nemo Security Incident: Cause, Process, and Fund Tracing Report V1.1
主要收获
-
Nemo 因利用未经审计代码的黑客攻击损失了 259 万美元。
-
审计师 Asymptotic 此前曾标记过该漏洞。
-
项目团队未能及时解决安全问题。
-
代码部署程序松懈，允许未经审计的代码被推送。
-
安全升级程序在易受攻击的代码部署后才实施。
漏洞及其利用
此次攻击发生在 9 月 7 日，利用了旨在减少滑点的一个函数中的缺陷。该函数名为“get_sy_amount_in_for_exact_py_out”，在未经智能合约审计师 Asymptotic 全面审计的情况下被部署到链上。Nemo 团队承认他们“未能及时充分解决此安全问题”。
松懈的安全程序
更糟糕的是，新代码的部署仅需一个签名，这使得开发人员能够在不披露的情况下推送未经审计的更改。开发人员也未能使用审计中提供的确认哈希进行部署，偏离了既定程序。此次事件遵循了其他 DeFi 攻击中出现的模式，例如 NFT 交易平台 SuperRare 上发生的 73 万美元攻击，该攻击归因于一个通过标准测试本可预防的基本智能合约错误。
易受攻击的代码最初于 1 月部署，而本可以防止此类事件发生的升级程序直到 4 月才实施。尽管进行了此次升级，但该漏洞已集成到生产环境中。Asymptotic 已于 8 月 11 日就该漏洞发出了警告，但据报道 Nemo 团队当时专注于其他问题，未能在攻击发生前采取行动。
Nemo 的回应和未来计划
为应对此次攻击，Nemo 已暂停其协议的核心功能，以防止进一步损失。该团队正积极与多家安全公司合作，并提供信息以协助冻结中心化交易所的资产。一个补丁已经开发完成，Asymptotic 目前正在审计新代码。该项目已移除其闪电贷功能，修复了易受攻击的代码，并引入了手动重置功能以纠正受影响的值。Nemo 还在为受影响的用户制定赔偿计划，其中包括在代币经济学层面进行债务重组。
Nemo 团队已向其用户道歉，表示他们已认识到在安全和风险管理中“持续警惕”的重要性。他们承诺将加强安全措施并实施更严格的协议控制。
来源
-
审计师在 Nemo 259 万美元被盗前已标记问题，团队承认，Cointelegraph。
本文借助人工智能技术支持，参考多个权威来源编写而成。最终内容已由BlockzHub编辑团队进行全面审查和编辑，以确保准确性、清晰度和连贯性。原始报道来源在适当且必要时均予以注明。本文中表达的观点不一定代表BlockzHub的官方立场或观点。本文仅供信息参考，不应被视为财务或专业建议。投资涉及风险，在做出任何投资决策之前，您应咨询合格的财务顾问。