감사관은 $2.59M Nemo 해킹 전에 문제를 표시했으며 팀은 인정합니다.

프로젝트에 따르면 Sui 기반 수익률 거래 프로토콜인 Nemo는 감사되지 않은 코드가 배포되어 도입된 알려진 취약점으로 인해 약 259만 달러의 손실을 입었습니다.

9월 7일 해킹에 대한 Nemo의 사후 분석에 따르면 미끄러짐을 줄이기 위한 기능의 결함으로 인해 공격자가 프로토콜 상태를 변경할 수 있었습니다. “get_sy_amount_in_for_exact_py_out”라는 이름의 이 기능은 스마트 계약 감사인 Asymptotic의 감사를 받지 않고 온체인에 푸시되었습니다.

또한 Asymptotic의 팀은 예비 보고서에서 문제를 확인했습니다. 그럼에도 불구하고 Nemo 팀은 “팀이 이 보안 문제를 적시에 적절하게 해결하지 못했다”고 인정합니다.

새 코드를 배포하려면 단일 주소의 서명만 필요하므로 개발자는 변경 사항을 공개하지 않고 감사되지 않은 코드를 온체인에 푸시할 수 있었습니다. 또한 그는 배포를 위해 감사에 제공된 확인 해시를 사용하지 않아 절차를 깨뜨렸습니다.

해킹이 쉽게 예방할 수 있었다는 사실이 밝혀진 것은 이번이 처음이 아닙니다. 이 보고서는 NFT 거래 플랫폼 SuperRare가 전문가들이 표준 테스트 관행으로 쉽게 예방할 수 있었다고 말하는 기본적인 스마트 계약 버그로 인해 7월 말 730,000달러의 익스플로잇을 겪은 데 따른 것입니다.

관련: 버블맵, MYX 에어드랍에서 암호화폐 역사상 가장 큰 시빌 공격 주장

보안 절차가 너무 늦게 변경됨

취약한 코드는 1월 초에 온체인에 푸시되었습니다. 감사되지 않은 코드가 온체인에 배포되는 것을 막을 수 있는 업그레이드 절차는 4월에 구현되었습니다.

업그레이드에도 불구하고 취약점은 이미 프로덕션 환경에 침투했습니다. Asymptotic은 8월 11일 Nemo에게 취약점에 대해 경고했지만 프로젝트는 다른 문제에 초점을 맞추고 있으며 익스플로잇 전에 해결하지 못했다고 말했습니다.

관련: 실패한 NPM 익스플로잇은 암호화폐 보안에 대한 다가오는 위협을 강조합니다: Exec

Nemo는 프로토콜을 일시 중지하고 패치를 준비합니다.

분석에 따르면 Nemo의 프로토콜 핵심 기능은 추가 손실을 방지하기 위해 현재 일시 중지되었습니다. 팀은 여러 보안 팀과 협력하고 중앙 집중식 거래소의 자산 동결을 지원하기 위해 모든 관련 주소를 제공하고 있습니다.

이제 패치가 개발되었으며 Asymptotic은 새 코드를 감사하고 있습니다. 이 프로젝트는 플래시 대출 기능을 제거하고 취약한 코드를 수정했으며 영향을 받는 값을 복원하기 위해 수동 재설정 기능을 추가했다고 밝혔습니다. Nemo는 또한 토큰노믹스 수준의 부채 구조화를 포함하여 사용자를 위한 보상 계획을 설계하고 있습니다.

“핵심 팀은 토큰경제학 수준의 부채 구조화 설계를 포함하여 상세한 사용자 보상 계획을 수립하고 있습니다.”

Nemo는 사용자에게 사과하고 “보안 및 위험 관리에는 지속적인 경계가 필요하다”는 것을 배웠다고 주장했습니다. 팀은 또한 방어를 개선하고 더 엄격한 프로토콜 제어를 적용하겠다고 약속했습니다.