Le protocole Nemo lance un programme de tokens de dette pour les victimes du piratage de 2,6 millions de dollars

Le protocole de trading de rendement basé sur Sui, Nemo Protocol, a annoncé un programme de compensation par tokens de dette pour les utilisateurs affectés par une exploitation de 2,59 millions de dollars le 7 septembre. Le plan de remboursement intervient après que l'équipe du projet a admis qu'un changement de code non audité avait laissé son système vulnérable aux attaques.

Dans un article de blog publié dimanche sur Notion, Nemo a révélé un plan de récupération en trois étapes basé sur l'émission de tokens de dette NEOM. Le programme vise à restituer de la valeur aux victimes au fil du temps grâce à un pool de rachat dédié financé par les actifs récupérés, les prêts de liquidité et les investissements.

Les utilisateurs recevront des tokens NEOM indexés 1:1 sur la valeur de leurs pertes en USD, sur la base d'un snapshot on-chain pris lorsque le protocole a été mis en pause. 

“Bien que nous aurions préféré rembourser directement tout le monde en USD, nous ne disposons pas de fonds ou de capitaux suffisants pour le faire, c'est pourquoi nous avons adopté la stratégie du token de dette comme la voie la plus viable,” a écrit l'équipe du protocole de trading de rendement.

Le protocole Nemo émet un plan de récupération en trois étapes

La première phase du plan de récupération verra les utilisateurs récupérer la valeur résiduelle restante dans les pools compromis grâce à une fonction en un clic. Les actifs seront transférés vers de nouveaux contrats intelligents multi-audités gérés conjointement par Nemo et ses partenaires.

La deuxième phase est la distribution des tokens NEOM, où, après avoir terminé le processus de migration, les victimes recevront simultanément des tokens de dette équivalents à leurs pertes. Par exemple, une perte de 1 $ se traduit par un token NEOM.

La dernière phase leur donne le choix de la manière de gérer leurs NEOM. Ceux qui ont été affectés par le piratage peuvent immédiatement sortir via des market makers automatisés ou conserver les tokens en attendant la récupération des fonds gelés ou récupérés.

Nemo a également lancé un portail dédié pour soutenir les utilisateurs affectés, un module tout-en-un avec trois fonctionnalités principales, y compris l'éligibilité et l'affichage des pertes. Une fois qu'un utilisateur connecte son portefeuille, le système identifie automatiquement les positions sur tous les pools affectés et affiche trois chiffres : la valeur de l'actif d'origine, la valeur résiduelle et la perte totale.

Un autre est un outil de réclamation en un clic, où les utilisateurs peuvent transférer tous les tokens de fournisseur de liquidité résiduels et les tokens de rendement dans des pools de contrats sécurisés avec une seule confirmation.

Enfin, mais non des moindres, se trouve le module de réclamation NEOM, qui affiche le nombre exact de tokens de dette alloués à chaque utilisateur en fonction de sa perte totale et une option pour « réclamer NEOM ».

L'exploiteur de Nemo a profité d'un contrat intelligent défectueux

Selon un indique qu'aucun fonds utilisateur n'a été perdu ; les trois portefeuilles affectés appartenaient à l'équipe de ZetaChain. de Nemo, un acteur malveillant a utilisé une faille dans la conception du contrat intelligent de Nemo pour exécuter le piratage. L'entreprise de sécurité blockchain PeckShield a signalé que l'attaquant a volé le USDC stablecoin de Circle, a ponté les tokens d'Arbitrum vers Ether avant de les disperser à travers plusieurs adresses de blanchiment.

Sur le contrat intelligent du protocole se trouve une fonction de flaw lay qui aide la plateforme de trading à réduire le slippage. Le code, appelé « get_sy_amount_in_for_exact_py_out », a été ajouté on-chain en janvier sans l'audit nécessaire de la firme de contrats intelligents Asymptotic. 

Même lorsqu'une mise à jour a été installée en avril pour renforcer les vérifications de déploiement, le code vulnérable avait déjà été intégré en production. L'attaquant a initié des transferts inter-chaînes à 16h10 UTC le 7 septembre via le protocole de transfert inter-chaînes CCTP de Circle. 

Au total, 2,59 millions de dollars des fonds de Nemo ont été rapidement détournés en utilisant des prêts flash de pools incluant sUSDC, sbUSDT et sSUI.

L'équipe d'Asymptotic a identifié la vulnérabilité dans un rapport préliminaire remis à Nemo le 11 août. Cependant, la plateforme a admis qu'elle n'avait pas réussi à résoudre le problème à temps avant que les attaquants ne trouvent la faille. 

Après avoir publié un diagnostic complet de l'exploitation, Nemo coordonne avec les équipes de sécurité blockchain et les échanges centralisés (CEX) pour geler les actifs volés.