เนโม(Nemo) บนสุย(SUI) ถูกแฮก สูญกว่า 2.59 ล้านดอลลาร์ เหตุใช้โค้ดไร้การตรวจสอบ

โปรโตคอลเทรดดิ้งบนบล็อกเชนของสุย(SUI) ที่มีชื่อว่า ‘เนโม(Nemo)’ ถูกแฮกระบบ สูญเสียทรัพย์สินรวมกว่า 2.59 ล้านดอลลาร์สหรัฐ หรือราว 36 ล้านบาท สาเหตุหลักมาจากการใช้งานโค้ดสมาร์ตคอนแทรกต์ที่ยังไม่ผ่านการตรวจสอบความปลอดภัยอย่างเป็นทางการ โดยเมื่อวันที่ 7 กันยายน เนโมเปิดเผยผ่านรายงานวิเคราะห์เหตุการณ์ว่า ผู้ไม่หวังดีใช้ประโยชน์จากช่องโหว่ในฟังก์ชัน get_sy_amount_in_for_exact_py_out สำหรับลดค่า *สลิปเพจ* เพื่อเจาะระบบและควบคุมสถานะของโปรโตคอลได้สำเร็จ

โค้ดดังกล่าวถูกพัฒนาและนำขึ้นใช้งานโดยไม่มีการอนุมัติจากบริษัทตรวจสอบความปลอดภัยอย่างเป็นทางการคือ Asymptotic อีกทั้งยังมีการระบุว่า การอัปเดตดังกล่าวเกิดขึ้นผ่านการลงนามเพียงที่อยู่เดียว ซึ่งถือว่าผิดหลักความปลอดภัยของระบบแบบกระจายศูนย์ Asymptotic เคยเตือนถึง *ความเสี่ยงที่อาจเกิดขึ้น* จากโค้ดนี้ในรายงานก่อนหน้า แต่เนโมยอมรับว่าไม่ได้ดำเนินการตอบสนองใดๆ ในทันที นอกจากนี้ยังไม่มีการใช้ *แฮชจากการตรวจสอบ (audit hash)* ในขั้นตอนการปล่อยโค้ด ทำให้การตรวจสอบถูกละเว้นโดยสิ้นเชิง

เหตุการณ์นี้คล้ายคลึงกับกรณีของแพลตฟอร์มเอ็นเอฟที ‘ซูเปอร์แรร์(SuperRare)’ ที่เคยถูกโจมตีด้วยช่องโหว่พื้นฐานเมื่อปลายเดือนกรกฎาคม ซึ่งสร้างความเสียหายกว่า 730,000 ดอลลาร์ หรือประมาณ 10 ล้านบาท โดยเรื่องนั้นสามารถป้องกันได้ด้วยการทดสอบเพียงเล็กน้อย

เนโมเปิดเผยเพิ่มเติมว่า โค้ดต้นตอของปัญหานี้ถูกปล่อยใช้งานตั้งแต่เดือนมกราคมปีนี้ แต่กลับเริ่มมีมาตรการป้องกันที่เข้มข้นขึ้นในเดือนเมษายน ซึ่งเป็น *ระยะเวลาหลังเหตุการณ์กว่า 3 เดือน* ยิ่งไปกว่านั้น แม้ Asymptotic จะได้ออกคำเตือนอีกครั้งในวันที่ 11 สิงหาคม แต่เนโมกลับให้ความสำคัญกับปัญหาอื่นก่อน จึงทำให้ช่องโหว่ยังคงถูกปล่อยไว้โดยไม่มีการแก้ไข

ณ ขณะนี้ เนโมได้หยุดการทำงานของฟีเจอร์สำคัญในโปรโตคอลชั่วคราว เพื่อป้องกันไม่ให้ปัญหาลุกลาม และกำลังดำเนินการร่วมกับทีมรักษาความปลอดภัยหลายฝ่ายเพื่อ ‘ระงับสินทรัพย์ของแฮกเกอร์ในตลาดซื้อขายแบบศูนย์กลาง’ พร้อมกันนี้ยังได้พัฒนาแพตช์เร่งด่วนโดยมี Asymptotic ร่วมตรวจสอบ พร้อมทั้ง *ตัดฟีเจอร์แฟลชโลนออกและเพิ่มฟังก์ชันรีเซตแบบแมนนวล* เพื่อลดความเสี่ยงในอนาคต

สำหรับผู้ใช้งานที่ได้รับผลกระทบ เนโมเตรียมออกมาตรการชดเชยผ่านแผนปรับโครงสร้างหนี้เชิงกลไกโทเคโนมิกส์ และสร้างแผนเยียวยาอย่างละเอียด โปรเจกต์ระบุว่า เหตุการณ์นี้เป็นบทเรียนสำคัญว่า ‘ความปลอดภัยและการบริหารความเสี่ยง’ คือสิ่งที่ต้องให้ความสำคัญสูงสุด พร้อมประกาศว่าจะเสริมสร้างระบบควบคุมภายใน และวางแนวทางป้องกันอย่างต่อเนื่องเพื่อความเชื่อมั่นในอนาคต