«Одна строка кода, пропущенная при аудите, может стоить миллионов. В DeFi нет места самодовольству — только постоянная бдительность.»
— Эллисон Пирсон, директор по кибербезопасности Europol
В сентябре 2025 года экосистема Sui столкнулась с ещё одним серьёзным инцидентом: протокол Nemo Protocol, платформа для торговли доходностью (yield trading), стал жертвой масштабного взлома, в результате которого было похищено около $2,6 миллиона в стейблкоинах. Что делает этот случай особенно показательным, так это то, что он был полностью предотвратим. Согласно внутреннему анализу самого проекта, уязвимость была обнаружена аудиторской компанией Asymptotic за месяц до атаки, но команда Nemo не успела её устранить.
Инцидент, произошедший 7 сентября, стал вторым крупным хаком на блокчейне Sui в 2025 году после взлома Cetus Protocol на $223 млн. Он подчеркнул растущую проблему в индустрии DeFi: недостаточное внимание к процессам безопасности, чрезмерное доверие к одному разработчику и игнорирование сигналов тревоги. По данным Hacken, в первом полугодии 2025 года потери от взломов превысили $3,1 миллиарда, что на 88,7% больше, чем в H1 2024 года.
Как отметил Хакан Унал из Cyvers: «Самый опасный враг DeFi — это не хакер. Это ощущение ложной безопасности.»
По результатам постмортем-анализа, опубликованного командой Nemo Protocol, атака была совершена через критическую уязвимость в функции смарт-контракта, предназначенной для снижения проскальзывания (slippage) при обмене токенов.
Конкретно, уязвимой оказалась функция “get_sy_amount_in_for_exact_py_out”. Она позволяла злоумышленнику манипулировать внутренним состоянием протокола, что давало возможность:
После эксплуатации уязвимости хакер быстро переместил похищенные активы через кросс-чейн мост с сети Arbitrum на Ethereum, что затруднило их отслеживание и заморозку.
Атака на Nemo Protocol — это не просто технический сбой, а системный сбой в управлении рисками. Расследование выявило несколько ключевых причин, которые привели к катастрофе:
Функция, ставшая точкой входа для атаки, была развернута на основной сети в начале января 2025 года без полноценного аудита. Это стало возможным из-за слабых процедур деплоя.
Для публикации нового кода требовалась подпись всего с одного адреса. Это создавало централизованную точку риска, где один разработчик мог вносить изменения без контроля со стороны команды.
Аудиторская компания Asymptotic обнаружила уязвимость и предупредила Nemo ещё 11 августа 2025 года. Однако команда заявила, что «была сосредоточена на других вопросах» и не смогла оперативно отреагировать.
Разработчик не использовал хеш подтверждения (confirmation hash), предоставленный в отчёте Asymptotic, что нарушило стандартную процедуру проверки соответствия кода аудиту.
Процедура, которая могла бы предотвратить развертывание неаудированного кода (например, многоуровневая мультиподпись), была внедрена только в апреле 2025 года — спустя три месяца после того, как уязвимый код уже попал в продакшен.
Как сказал Зак Чжоу (ZachXBT): «Это не хак. Это самоубийство с помощью хакера.»
Реакция рынка была немедленной и разрушительной:
Хотя Nemo Protocol не имеет собственного токена, его репутация как надёжной платформы для yield-trading серьёзно пострадала.
Инцидент с Nemo Protocol — не единичный случай. В 2025 году всё чаще происходят взломы, которые можно было легко предотвратить.
В конце июля платформа для торговли NFT SuperRare стала жертвой эксплойта из-за базовой ошибки в смарт-контракте, которую можно было обнаружить при стандартном тестировании.
Турецкая биржа дважды подверглась атакам, связанным с утечкой ключей, демонстрируя хронические проблемы с безопасностью горячих кошельков.
Недавняя попытка компрометации популярного пакетного менеджера NPM напомнила, что даже самые базовые практики безопасности часто игнорируются, создавая угрозу для всей инфраструктуры Web3.
Как отметил Чарльз Гильем из Ledger: «Когда одна и та же ошибка повторяется снова и снова, это уже не случайность. Это культура.»
После атаки команда Nemo Protocol приняла ряд экстренных мер.
Был разработан исправляющий патч, который сейчас находится на аудите у Asymptotic. В него вошли:
Команда заявила о разработке детального плана возмещения убытков, включая:
В будущем будут введены:
Как заявила команда: «Мы узнали, что безопасность и управление рисками требуют постоянной бдительности.»
Случай с Nemo Protocol должен стать обязательным учебным материалом для всех участников экосистемы.
Отчёт аудитора — это не бумажка для PR. Это жизненно важный документ, который нужно выполнять дословно и своевременно.
Деплой кода не должен зависеть от одного человека. Требуется мультиподпись и четкие SLA на реагирование на уязвимости.
Если аудитор нашёл проблему, она должна стать абсолютным приоритетом, вне зависимости от других задач.
Пользователи должны знать о рисках и шагах по их устранению. Затягивание с информированием усугубляет потерю доверия.
Индустрия нуждается в стандартах, аналогичных MiCA, которые будут требовать обязательных аудитов, bug bounty программ и страхования казначейства.
Как сказал Виталик Бутерин: «Безопасность — это не продукт. Это процесс, в котором нет конца.»
Атака на Nemo Protocol — это трагедия, которая могла быть предотвращена. Её главный урок — технологии могут быть совершенны, но если процессы управления слабы, система обречена.
Ключевые выводы:
Как сказал Андреас Антонопулос: «В DeFi, ты не теряешь деньги из-за хакера. Ты теряешь их из-за того, что не сделал достаточно, чтобы их защитить.»
История Nemo Protocol — это не просто рассказ о хаке. Это предостережение. Она показывает, что в мире, где каждый контракт — это закон, одна ошибка в процессе может стоить миллионов. И пока проекты будут ставить скорость выше безопасности, мы будем продолжать видеть одни и те же катастрофы — просто с новыми названиями и большими суммами.
