Protocollo Nemo e Sui sfruttati per milioni di USDC 2,4

Cronologia e meccanismi dell'exploit

Lunedì, Nemo, un protocollo di ottimizzazione del rendimento costruito sulla blockchain Sui, ha subito una violazione della sicurezza che ha comportato la perdita di 2,4 milioni di dollari in USDC. L'attaccante ha sfruttato una vulnerabilità nell'integrazione del bridge di Nemo, consentendo il prelievo non autorizzato delle riserve di stablecoin. I fondi sono stati trasferiti da Arbitrum a Ethereum prima della distribuzione tramite una serie di transazioni con mixer.

La società di sicurezza blockchain Peckshield ha individuato sospetti movimenti di USDC su larga scala attraverso il monitoraggio on-chain. L'exploit ha sfruttato una falla nella logica di autorizzazione del contratto token, bypassando i controlli multisignature. Dopo la violazione, il valore totale bloccato (TVL) di Nemo è crollato a 1,53 milioni di dollari da un picco di oltre 6 milioni, riducendo il collaterale degli utenti e le posizioni di rendimento.

Architettura del protocollo e vulnerabilità

• Tokenizzazione del rendimento: Nemo suddivide gli asset messi in staking in Principal Tokens (PT) e Yield Tokens (YT) per il trading secondario.
• Integrazione del bridge: La dipendenza da un bridge di terze parti per la liquidità cross-chain ha introdotto una superficie d'attacco.
• Falla di autorizzazione: La convalida impropria dei messaggi firmati ha permesso la creazione dannosa di richieste di prelievo.

L'exploit sottolinea i rischi persistenti nella DeFi, in particolare all'interno di nuovi ecosistemi blockchain. Il design architetturale di Nemo mirava a innovare il trading di rendimento ma mancava di adeguati livelli di protezione. L'analisi post-mortem suggerisce la mancata implementazione di rigorose revisioni del codice e l'integrazione di sistemi di monitoraggio in tempo reale capaci di segnalare pattern anomali di transazione.

Risposta e mitigazione

Il team di sviluppo di Nemo ha sospeso tutte le operazioni del protocollo e congelato i rimanenti asset on-chain. Sono in corso proposte di governance d'emergenza per aggiornare la logica degli smart contract, imporre controlli di accesso più rigorosi e implementare un monitoraggio continuo della sicurezza. È in fase di lancio un programma whitehat per incentivare auditor esterni a ricercare ulteriori vulnerabilità.

Implicazioni per il settore

Con la crescita dell'adozione della DeFi, i protocolli emergenti devono dare priorità ai framework di sicurezza per mantenere la fiducia degli utenti. L'exploit di Nemo si aggiunge a una lista crescente di attacchi su blockchain alternative, evidenziando l'importanza della collaborazione cross-chain sugli standard di sicurezza. Gli stakeholder chiedono divulgazioni comuni delle vulnerabilità e best practice a livello industriale per rafforzare il panorama DeFi.

Si consiglia agli utenti di monitorare i canali di governance del protocollo per aggiornamenti sulle misure correttive e di esercitare cautela nel distribuire capitale in nuovi ecosistemi. Il piano di recupero di Nemo e la risposta della comunità serviranno da casi di studio per la gestione del rischio nelle architetture DeFi di nuova generazione.