Dự án Nemo mất 2,59 triệu USD do ra mắt tính năng mới thiếu kiểm toán

Giao thức DeFi Nemo trên Sui bị khai thác lỗ hổng trong hai hàm hợp đồng, dẫn đến mất khoảng 2,59 triệu USD; chức năng lõi đã bị đóng băng, đội ngũ gửi bản vá để kiểm toán khẩn cấp và đang triển khai kế hoạch theo dõi tài sản và bồi thường người dùng.

Sự cố khởi nguồn từ việc phát hành tính năng mới thiếu kiểm toán đầy đủ và xử lý rủi ro chậm. Phần lớn tài sản bị chuyển sang Ethereum qua cầu cross-chain; đội ngũ đang hoàn thiện bản vá và phương án bồi thường.

Sơ lược sự cố

Nemo bị khai thác lỗ hổng trong hai hàm hợp đồng, khiến thiệt hại khoảng 2,59 triệu USD và buộc đóng băng chức năng lõi của giao thức.

Hacker lợi dụng sai sót trong flash_loan và get_sy_amount_in_for_exact_py_out để rút tài sản; phần lớn số tiền bị chuyển qua cầu cross-chain sang Ethereum. Đội ngũ đã ngắt một số chức năng để hạn chế rủi ro lan rộng.

Nguyên nhân và điểm yếu kỹ thuật

Nguyên nhân chính là phát hành tính năng mới mà chưa được kiểm toán đầy đủ và phản ứng với rủi ro chậm, tạo điều kiện cho kẻ tấn công khai thác lỗ hổng hợp đồng.

Flash loan thường cho phép vay trong một giao dịch, nếu kiểm soát logic hoặc điều kiện đầu vào không chặt chẽ, kẻ tấn công có thể thao túng luồng giá hoặc cân bằng. Việc thiếu audit và kiểm thử đã làm tăng mức rủi ro.

Hành động của đội ngũ Nemo

Giao thức đã đóng băng chức năng lõi và nộp bản vá để thực hiện kiểm toán khẩn cấp, đồng thời triển khai theo dõi luồng tài sản và kế hoạch bồi thường người dùng.

Đóng băng nhằm ngăn chặn hành vi khai thác tiếp theo; bản vá sẽ được kiểm tra trước khi tái mở dịch vụ. Kế hoạch bồi thường và theo dõi tài sản đang được xây dựng để giảm thiểu thiệt hại cho người dùng.

Tác động đến người dùng và hệ sinh thái

Người dùng có vị thế liên quan có thể bị mất hoặc tạm thời không truy cập tài sản; sự cố có thể ảnh hưởng uy tín của dự án trên Sui và cầu cross-chain liên quan.

Người dùng nên theo dõi kênh thông tin chính thức của dự án, kiểm tra danh sách địa chỉ bị ảnh hưởng và tránh tương tác với các hợp đồng chưa được xác thực cho đến khi có thông báo chính thức.

Giao thức đã mất bao nhiêu tiền?

Mất khoảng 2,59 triệu USD theo báo cáo về sự cố.

Phần lớn tài sản hiện ở đâu?

Phần lớn tài sản đã được chuyển sang Ethereum qua cầu cross-chain; đội ngũ đang theo dõi và cố gắng truy vết dòng tiền.

Người dùng có được bồi thường không?

Đội ngũ Nemo đang phát triển kế hoạch bồi thường cho người dùng; chi tiết và thời gian sẽ được thông báo sau khi kiểm toán hoàn tất.

Người dùng nên làm gì ngay bây giờ?

Ngừng tương tác với các hợp đồng liên quan, theo dõi kênh thông tin chính thức của dự án và lưu giữ bằng chứng giao dịch để hỗ trợ quá trình bồi thường.