Sui上的Nemo协议多次遭利用损失240万美元USDC

漏洞时间线和机制

周一，基于Sui区块链的收益优化协议Nemo遭遇安全漏洞，导致240万美元的USDC被盗。攻击者利用Nemo桥接集成中的漏洞，未经授权提取了稳定币储备。资金先从Arbitrum桥接至以太坊，随后通过一系列混币交易分散。

区块链安全公司Peckshield通过链上监控发现异常的大规模USDC转移。漏洞利用了代币合约授权逻辑中的缺陷，绕过了多签名检查。事件发生后，Nemo的总锁仓价值（TVL）从超过600万美元急跌至153万美元，用户抵押资产和收益头寸减少。

协议架构与漏洞

• 收益代币化：Nemo将质押资产拆分为本金代币（PT）与收益代币（YT）以支持二级交易。
• 桥接集成：对第三方桥接的依赖引入了攻击面。
• 授权漏洞：对签名消息验证不严，允许恶意铸造提款请求。

此漏洞凸显了DeFi，尤其是新兴区块链生态中的持续风险。Nemo的架构设计意在创新收益交易，但缺乏足够的安全防护层。事后分析显示未能执行严格代码审计及集成能实时监测异常交易模式的系统。

响应与缓解措施

Nemo开发团队暂停所有协议操作，冻结剩余链上资产。紧急治理提案正在进行，以升级智能合约逻辑、强化访问控制并部署持续安全监控。白帽计划正在启动，激励外部审计员挖掘额外漏洞。

行业影响

随着DeFi采纳率增长，新兴协议必须优先考虑安全框架以维护用户信任。Nemo漏洞加入了多条替代区块链的攻击案例，强调跨链合作制定安全标准的重要性。利益相关者呼吁公开漏洞信息及行业最佳实践以强化DeFi生态。

建议用户关注协议治理渠道获取补救更新，部署资金于新生态时保持谨慎。Nemo的恢复计划及社区响应将作为下一代DeFi架构风险管理的案例研究。