Nemo Protocol lancia il programma di token del debito per le vittime dell'hack da 2,6 milioni di dollari

La piattaforma di trading di rendimento basata su Sui, Nemo Protocol, ha annunciato un programma di compensazione con token del debito per gli utenti colpiti da un exploit da 2,59 milioni di dollari il 7 settembre. Il piano di rimborso arriva dopo che il team del progetto ha ammesso che una modifica del codice non sottoposta a revisione ha lasciato il suo sistema vulnerabile agli attacchi.

In un post sul blog pubblicato domenica su Notion, Nemo ha rivelato un piano di recupero in tre fasi basato sull'emissione di token del debito NEOM. Il programma mira a restituire valore alle vittime nel tempo attraverso un pool di riscatto dedicato finanziato da asset recuperati, prestiti di liquidità e investimenti.

Gli utenti riceveranno token NEOM ancorati 1:1 al valore delle loro perdite in termini di USD, basati su uno snapshot on-chain effettuato quando il protocollo è stato messo in pausa. 

“Preferiremmo rimborsare tutti direttamente in USD, ma non disponiamo di fondi sufficienti o di capitale raccolto per farlo, motivo per cui abbiamo adottato la strategia del token del debito come il percorso più viable,” ha scritto il team del protocollo di trading di rendimento.

Nemo Protocol emette un percorso di recupero in tre fasi

La prima fase del piano di recupero vedrà gli utenti recuperare il valore residuo lasciato nei pool compromessi attraverso una funzione a un clic. Gli asset saranno trasferiti in nuovi smart contract multi-auditati gestiti congiuntamente da Nemo e dai suoi partner.

La seconda fase è la distribuzione dei token NEOM, dove, dopo aver completato il processo di migrazione, le vittime riceveranno simultaneamente token del debito equivalenti alle loro perdite. Ad esempio, una perdita di 1 $ si traduce in un token NEOM.

L'ultima fase dà loro la scelta di come gestire i loro NEOM. Coloro che sono stati colpiti dall'hack possono uscire immediatamente attraverso i market maker automatizzati o mantenere i token in attesa del recupero da fondi congelati o recuperati.

Nemo ha anche lanciato un portale dedicato per supportare gli utenti colpiti, un modulo tuttofare con tre funzionalità principali, tra cui visualizzazione dell'idoneità e delle perdite. Una volta che un utente connette il proprio portafoglio, il sistema identifica automaticamente le posizioni su tutti i pool interessati e visualizza tre cifre: valore dell'asset originale, valore residuo e perdita totale.

Un'altra è uno strumento di rivendicazione a un clic, dove gli utenti possono trasferire tutti i token LP (liquidity provider) residui e i token di rendimento in pool di contract sicuri con una singola conferma.

L'ultimo, ma non meno importante, è il modulo di rivendicazione NEOM, che mostra il numero esatto di token del debito assegnati a ciascun utente in base alla loro perdita totale e un'opzione per "rivendicare NEOM".

L'exploiter di Nemo ha sfruttato lo smart contract difettoso

Secondo un rapporto post-mortem ufficiale di ZetaChain di Nemo, un attore malintenzionato ha sfruttato una falla nella progettazione dello smart contract di Nemo per eseguire l'hack. L'azienda di sicurezza blockchain PeckShield ha riferito che l'attaccante ha rubato la USDC stablecoin di Circle, portando i token da Arbitrum a Ether prima di dispersarli attraverso diversi indirizzi di riciclaggio.

Sullo smart contract del protocollo giace una funzione flaw che aiuta la piattaforma di trading a ridurre lo slippage. Il codice, chiamato “get_sy_amount_in_for_exact_py_out”, è stato aggiunto on-chain a gennaio senza la necessaria revisione da parte della società di smart contract Asymptotic. 

Anche quando è stato installato un aggiornamento ad aprile per stringere i controlli di distribuzione, il codice vulnerabile era già stato incorporato in produzione. L'attaccante ha avviato trasferimenti cross-chain alle 16:10 UTC del 7 settembre tramite il protocollo di trasferimento cross-chain (CCTP) di Wormhole per Circle. 

In totale, 2,59 milioni di dollari dei fondi di Nemo sono stati rapidamente sottratti utilizzando flash loans da pool tra cui sUSDC, sbUSDT e sSUI.

Il team di Asymptotic ha identificato la vulnerabilità in un rapporto preliminare consegnato a Nemo l'11 agosto. Tuttavia, la piattaforma ha ammesso di non aver affrontato il problema in tempo prima che gli attaccanti trovassero la falla. 

Dopo aver rilasciato una prognosi completa dell'exploit, Nemo ha coordinato con i team di sicurezza blockchain e gli exchange centralizzati (CEX) per congelare gli asset rubati.