Puntos clave de la Noticia
- Nemo Protocol confirmó que el reciente exploit de $2,6 millones se originó por código no auditado desplegado por un desarrollador a principios de este año.
- Las vulnerabilidades incluyeron una función de préstamo relámpago expuesta y un fallo en una consulta que permitió la manipulación del estado.
- El equipo ha pausado operaciones, aplicado parches de emergencia y está trabajando con expertos de seguridad en Sui para rastrear los fondos robados y diseñar un plan de compensación justo para los usuarios afectados.
Nemo Protocol, una plataforma DeFi de rendimiento construida sobre Sui, reconoció que su reciente exploit de $2,6 millones se debió a código no auditado que se incorporó al sistema. El incidente, ocurrido el 7 de septiembre, aprovechó dos vulnerabilidades: una función de flash loan expuesta y una función de consulta defectuosa que permitía modificar el estado sin autorización. El equipo destacó que el código buscaba mejorar la eficiencia, pero se implementó sin revisión completa, mostrando el equilibrio delicado entre velocidad de innovación y seguridad.
Decisiones Internas Generaron Debilidades
Según el informe del proyecto, los fallos se agregaron meses después de una auditoría inicial de MoveBit. Un desarrollador integró nuevas funciones sin pasar por controles de seguridad adicionales, que luego se desplegaron en mainnet. También reconocieron problemas de gobernanza, al usar un sistema de actualización con firma única que permitió que código inseguro pasara sin revisión rigurosa. Estas fallas muestran que incluso protocolos DeFi sofisticados son vulnerables si no se siguen procesos internos estrictos.
Alertas de otra firma de seguridad en agosto sobre una debilidad relacionada no se abordaron completamente, lo que facilitó el ataque. El atacante combinó el fallo de flash loan con la función defectuosa para vaciar los pools de liquidez, transfiriendo luego los fondos a Ethereum mediante Wormhole CCTP. El equipo cree que la transparencia y la divulgación pública ayudarán a recuperar la confianza y prevenir incidentes similares.
Recuperación y Resiliencia DeFi
En respuesta, Nemo Protocol pausó operaciones, corrigió las vulnerabilidades y envió el código parchado a una auditoría de emergencia. La mayoría de los fondos robados permanecen en una sola dirección de Ethereum, y se trabaja en rastrearlos con equipos especializados. También se está diseñando un plan de compensación para usuarios, buscando recuperar la confianza de la comunidad. Nemo planea implementar controles multi-firma y auditorías de código más frecuentes para reducir riesgos humanos.
A pesar del exploit, Nemo sigue comprometido con su misión de avanzar en la tokenización de rendimientos en Sui. La plataforma permite a los usuarios negociar, cubrir y apalancar rendimientos de forma más eficiente, y el equipo ve este evento como una oportunidad para fortalecer la gobernanza. El ecosistema DeFi, aunque aún vulnerable a errores humanos, continúa evolucionando, reforzando la innovación y resiliencia a largo plazo.
