SlowMist: Eksploit NEM Menguras $822,000 Apabila Penyerang Mengendalikan Simpanan Kolam Likuiditi
Firm keselamatan blok rantai SlowMist melaporkan eksploit token NEM sebanyak $821,920 pada 22 Oktober 2026, yang melibatkan kerentanan dalam kontrak pintar NemTokenV2 dan kolam likuiditi USDT/NEM PancakeSwap. Penyerang dilaporkan memanipulasi perakaunan token dan simpanan likuiditi melalui 42 operasi berulang, mencipta harga bursa yang dinaikkan secara artifisial sebelum menarik USDT. Kejadian ini menonjolkan kelemahan keselamatan dalam mekanisme token tersuai yang berinteraksi dengan bursa terdesentralisasi. Walaupun kerugian yang dilaporkan besar, kesan kewangan akhir serangan itu, status pemulihan, dan hubungannya dengan blok rantai NEM asal memerlukan perbezaan yang teliti.
SlowMist Melaporkan Eksploitasi Token NEM $822K di PancakeSwap
Pengungkapan keselamatan pada 22 Oktober mengenal pasti kerentanan perakaunan penyelesaian dalam NemTokenV2 yang membolehkan penyerang memanipulasi simpanan kolam likuiditi tanpa menyelesaikan pertukaran token yang sepadan. Serangan itu menargetkan pasangan dagangan USDT/NEM di PancakeSwap, di mana keseimbangan simpanan yang terdistorsi mempengaruhi harga pertukaran yang dikutip untuk token tersebut. SlowMist menganggarkan kerugian yang timbul pada kira-kira $821,920, menjadikan insiden ini sebagai contoh lain bagaimana kelemahan dalam logik kontrak khusus token boleh mendedahkan likuiditi keuangan terdesentralisasi (DeFi).
Amaran Keselamatan SlowMist pada 22 Oktober dan Kehilangan Anggaran $821,920
SlowMist mengenal pasti NemTokenV2 sebagai kontrak pintar yang terkesan dan menerangkan urutan di mana penyerang mengeksploitasi ketidakkonsistenan secara berulang-ulang antara aktiviti jualan yang direkodkan dan penyelesaian bursa sebenar. Serangan yang dilaporkan melibatkan 42 ulangan operasi pindah token dan pengurusan likuiditi yang secara beransur-ansur mengubah baki simpanan kolam. Penyerang kemudian menggunakan ketidakseimbangan harga yang dihasilkan untuk menukar token NEM yang tinggal kepada USDT pada kadar yang dinaikkan secara buatan. Setiap operasi berulang menyumbang kepada keadaan yang menjadikan pertukaran akhir secara kewangan lebih menguntungkan.
Kerugian anggaran sebanyak $821,920 mewakili kesan kewangan yang dilaporkan oleh SlowMist, bukan pengiraan bebas yang disahkan terhadap keuntungan bersih penyerang. Walaupun dapatan keselamatan awal mengenal pasti fungsi kontrak yang berkaitan dan pasangan dagangan yang terjejas, penguraian kewangan secara transaksi demi transaksi belum disahkan secara bebas. Jumlah yang akhirnya dikekalkan oleh penyerang mungkin berbeza daripada anggaran kerugian kolam apabila kos transaksi, modal awal, dan sebarang pergerakan aset seterusnya dipertimbangkan. Sebarang pulangan aset yang dicuri dan disahkan juga akan mempengaruhi kesan kewangan yang tinggal.
Kerentanan Penyelesaian NemTokenV2 dan Paparan Likuiditi PancakeSwap
Kerentanan yang dilaporkan berkaitan dengan cara NemTokenV2 memproses token yang dipindahkan ke kolam likuiditasnya. Logik kontraknya mengira beberapa pindahan masuk sebagai aktiviti jualan tanpa mengesahkan dengan cukup sama ada bursa yang berkaitan telah menyelesaikan transaksi. Ini mencipta ketidakkonsistenan antara perakaunan dalaman token dan aktiviti perniagaan sebenar yang berlaku di dalam kolam. Untuk mekanisme perakaunan yang dikaitkan dengan jumlah jualan, perbezaan ini boleh menentukan kapan operasi likuiditi automatik diaktifkan.
Insiden ini juga menunjukkan mengapa mekanisme khusus token memerlukan integrasi yang teliti dengan kolam likuiditi. Kolam-kolam ini bergantung pada keseimbangan aset yang tepat untuk menyokong perdagangan terdesentralisasi, tetapi fungsi token khusus boleh memperkenalkan risiko tambahan apabila andaian perakaunan mereka tidak sepadan dengan transaksi yang telah selesai. Kelemahan yang dilaporkan berkaitan dengan NemTokenV2 dan bukan kompromi yang telah dibuktikan terhadap kontrak bursa piawai PancakeSwap. Oleh itu, insiden ini tidak seharusnya ditafsirkan sebagai bukti bahawa setiap pasangan dagangan PancakeSwap terjejas.
Bagaimana Kerentanan NemTokenV2 Membolehkan 42 Manipulasi Kolam Likuiditi
Eksploitasi NemTokenV2 berpusat pada ketidaksesuaian antara jualan token yang direkodkan dan penyelesaian bursa sebenar. Kontrak yang terjejas dilaporkan membenarkan pindahan ke dalam kolam likuiditi untuk mempengaruhi perakaunan berkaitan jualan walaupun tiada pertukaran yang sepadan telah disahkan. Penyerang menggunakan kelemahan ini bersama operasi kontrak berulang untuk mengubah baki simpanan dan mencipta keadaan perdagangan yang menguntungkan. Memahami mekanisme ini memerlukan pembezalan antara tingkah laku automated market maker biasa dengan logik token rentan yang berinteraksi dengannya.
Kekeliruan Pengesahan Penyelesaian dalam Perakaunan Token NemTokenV2
Dalam bursa terdesentralisasi, memindahkan token ke kolam likuiditi tidak secara automatik menunjukkan bahawa penjualan telah selesai. Pertukaran yang sah melibatkan kontrak pertukaran memproses transaksi dan mengira aset yang terlibat. NemTokenV2 dilaporkan gagal membuat perbezaan ini apabila merekodkan beberapa pindahan sebagai aktiviti penjualan. Akibatnya, pengiraan dalamannya boleh mencerminkan aktiviti yang tidak menghasilkan pertukaran yang selesai yang sepadan. Pengesahan penyelesaian yang betul akan memerlukan kontrak untuk membezakan pindahan masuk daripada pertukaran yang benar-benar dilaksanakan.
Penyerang memanfaatkan ketidakkonsistenan ini melalui operasi yang melibatkan skim() dan flushLpSellRecycle(). Dalam PancakeSwap V2, skim() memindahkan keseimbangan token yang melebihi simpanan pasangan yang dicatat, sementara sync() memperbaharui simpanan yang dicatat tersebut agar sepadan dengan keseimbangan sebenarnya. Fungsi-fungsi ini berfungsi untuk tujuan yang berbeza dan tidak secara semula jadi rentan. Serangan yang dilaporkan bergantung pada bagaimana logik daur ulang khusus token yang terjejas berinteraksi dengan kolam, membenarkan manipulasi simpanan berulang-ulang. Perbezaan ini penting kerana memanggil skim() sahaja biasanya tidak mengurangkan simpanan yang dicatat oleh kolam likuiditi.
Pengurangan Simpanan Berulang dan Inflasi Harga NEM Buatan
SlowMist melaporkan bahawa penyerang mengulangi urutan manipulasi sebanyak 42 kali, menggabungkan pindah token dengan operasi skim() dan flushLpSellRecycle(). Urutan tersebut dikatakan mengurangkan simpanan NEM kolam relatif terhadap pegangan USDT-nya. Dalam kolam likuiditi hasil-ekonstan, kuantiti relatif dua aset mempengaruhi kadar pertukaran yang dikutip, jadi mengurangkan simpanan satu aset relatif terhadap yang lain boleh meningkatkan harga tersiratnya. Penyerang menggunakan ketidakseimbangan ini untuk menjual pegangan NEM yang tinggal dengan USDT di bawah keadaan harga yang terdistorsi. Pengulangan 42 yang dilaporkan tidak seharusnya secara automatik dianggap sebagai 42 transaksi blok rantai yang berasingan, kerana satu transaksi boleh menjalankan beberapa panggilan kontrak. Perubahan simpanan tepat dan jumlah transaksi individu akan memerlukan rekonstruksi penuh di atas blok rantai.
Pengeluaran USDT, Distorsi Harga, dan Perbezaan Antara Token NEM dan XEM
Konsekuensi kewangan daripada eksploit ini meluas melebihi manipulasi simpanan yang dilaporkan. Dengan mengubah baki aset di dalam kolam perdagangan yang terjejas, penyerang mencipta kadar pertukaran yang boleh berbeza secara ketara daripada harga yang disokong oleh aktiviti pasaran biasa. Penarikan USDT terakhir mencerminkan ketidakseimbangan harga tempatan ini, bukan pertumbuhan yang disahkan secara bebas dalam nilai pasaran yang lebih luas bagi token tersebut. Mengenal pasti aset yang terjejas sama pentingnya kerana token yang disebut dalam laporan keselamatan belum dikaitkan secara kesimpulan dengan XEM asli.
Bagaimana Penyerang Mengekstrak USDT Daripada Kolam PancakeSwap
Tahap terakhir melibatkan pertukaran token NEM yang masih dimiliki penyerang selepas struktur simpanan kolam telah diubah. Dengan lebih sedikit token NEM yang tersedia berbanding USDT, kolam menawarkan kadar pertukaran tersirat yang lebih tinggi untuk NEM. Penyerang dilaporkan memanfaatkan ketidakseimbangan itu untuk menerima USDT pada harga yang tidak mencerminkan keadaan perniagaan biasa. Aktiviti ini menyumbang kepada kerugian kira-kira $821,920 yang dianggarkan dalam dapatan keselamatan SlowMist.
Menentukan keuntungan sebenar penyerang memerlukan lebih daripada angka kerugian yang dilaporkan. Penyiasat perlu mengkaji rekod transaksi yang disahkan, baki aset awal, pindahan USDT, kos pelaksanaan, dan sebarang simpanan yang tinggal. Mereka juga perlu membezakan nilai yang dikeluarkan daripada kolam likuiditi dengan jumlah yang akhirnya dikawal oleh penyerang. Mengkaji pergerakan ini mengikut kronologi akan membantu memisahkan pindahan sementara daripada aset yang akhirnya dikekalkan oleh penyerang. Tanpa maklumat itu, menggambarkan keseluruhan anggaran kerugian sebagai keuntungan yang direalisasikan akan melebih-lebihkan apa yang dibuktikan oleh bukti yang tersedia.
Pengembangan Harga Kolam Likuiditi Berbanding Nilai Pasar NEM Sebenar
Harga token dalam kolam likuiditi terdesentralisasi bergantung pada aset yang tersedia dalam pasangan dagangan tertentu. Apabila baki simpanan berubah dengan tajam, kadar pertukaran yang dikutip mungkin menyimpang daripada harga yang tersedia di tempat lain. Manipulasi NemTokenV2 yang dilaporkan menciptakan distorsi seperti itu dalam kolom USDT/NEM yang terkesan, tetapi hal itu tidak menunjukkan peningkatan yang sepadan dalam penilaian pasaran luas token tersebut. Perbandingan pasaran yang boleh dipercayai memerlukan harga yang telah dilaksanakan dari tempat dagangan lain semasa tempoh yang sama.
Kedalaman likuiditi boleh memperkuat kesan-kesan ini. Sebuah kolam yang mengandungi sedikit aset yang tersedia biasanya mengalami kesan harga yang lebih besar akibat perubahan simpanan berbanding pasaran yang lebih dalam yang menangani transaksi sebanding. Ini bermaksud harga kolam yang meningkat tajam mungkin tidak mewakili kadar di mana pedagang biasa boleh melaksanakan jualan besar. Tiada data harga pasaran yang disahkan secara bebas telah menunjukkan peningkatan sepadan di tempat perdagangan lain, jadi insiden ini tidak sepatutnya disajikan sebagai kenaikan pasaran NEM yang lebih luas.
NemTokenV2 dan XEM Asli Bukanlah Aset yang Secara Automatik Sama
Perbezaan antara NemTokenV2 dan XEM, mata wang kripto asli bagi blok rantai NEM asal, adalah penting. Dokumentasi rasmi NEM mengenal pasti XEM sebagai mata wang digital asli rangkaian tersebut. Laporan insiden pada 22 Oktober, bagaimanapun, menggambarkan kontrak pintar bernama NemTokenV2 yang dikaitkan dengan pasangan dagangan PancakeSwap. Nama projek atau ticker yang sama tidak menunjukkan bahawa dua aset tersebut adalah identik atau secara rasmi berkaitan.
Mengesahkan hubungan tersebut memerlukan pemeriksaan alamat kontrak yang disahkan, dokumen penerbitan, dan pernyataan daripada operator projek yang berkaitan. Sejarah penghantaran kontrak juga boleh membantu menentukan asal-usulnya dan sebarang hubungan yang didokumenkan dengan projek NEM. Sehingga hubungan tersebut ditetapkan, kerugian yang dilaporkan harus ditujukan kepada kontrak dan kolam likuiditi yang terjejas, bukan blok rantai NEM asal atau semua pemegang XEM. Perbezaan ini membantu pelabur mengelakkan kekeliruan antara eksploit khusus token dengan kegagalan keselamatan yang mempengaruhi keseluruhan rangkaian blok rantai.
Akibat Eksploit NEM: Risiko Keselamatan DeFi, Status Pemulihan, dan Pandangan Masa Depan
Akibat daripada eksploit token NEM menimbulkan kebimbangan mengenai pemulihan dana, eksposur penyedia likuiditi, dan keselamatan mekanisme kontrak pintar tersuai. Selepas pengumuman SlowMist pada 22 Oktober 2026, soalan-soalan utama yang belum terjawab melibatkan status pembaikan kontrak yang terjejas, pergerakan aset yang diekstrak, dan kebolehpercayaan likuiditi perdagangan yang tinggal. Walaupun laporan awal menetapkan sifat kerentanan yang didakwa, ia tidak memberikan gambaran lengkap mengenai usaha pemulihan seterusnya atau peruntukan kompensasi.
Status Pemulihan Dana dan Pembaikan NemTokenV2
Pada 23 Oktober 2026, laporan insiden yang ditinjau belum menetapkan jumlah dana yang dipulihkan, rancangan kompensasi yang disahkan, atau penambalan keselamatan yang selesai untuk NemTokenV2. SlowMist dilaporkan telah menerbitkan alamat yang dikaitkan dengan penyerang, kontrak eksploitasi, dan token yang terjejas, memberikan titik permulaan potensial untuk penyelidikan blok rantai lanjutan. Namun, mengenal pasti alamat-alamat tersebut tidak menetapkan bahawa dana telah dibekukan atau dipulihkan. Sebarang pemulihan yang disahkan akan memerlukan transaksi di atas blok rantai yang menyokong atau pernyataan boleh dipercayai daripada pihak bertanggungjawab. Ketidaktahuan maklumat pemulihan yang disahkan dalam sumber-sumber yang ditinjau tidak boleh ditafsirkan sebagai bukti bahawa tiada aktiviti pemulihan berlaku.
Risiko Penyedia Likuiditi DeFi dan Implikasi Perdagangan
Pemberi likuiditi dan pedagang menghadapi risiko yang berbeza apabila simpanan kolam menjadi terdistorsi. Pemberi mungkin mengalami perubahan dalam nilai dan komposisi kedudukan likuiditi mereka, manakala pedagang boleh menghadapi slippage yang ketara, kedalaman perdagangan yang terhad, dan sebut harga bursa yang tidak boleh dipercayai. Kerugian tepat yang dialami oleh peserta individu belum diukur secara bebas. Sesiapapun yang menilai eksposur harus mengesahkan alamat kontrak yang terjejas dan mengkaji transaksi dompet yang berkaitan, bukan hanya bergantung pada nama token. Terdapat juga bukti yang tidak mencukupi untuk menghubungkan insiden ini dengan penurunan atau pemulihan harga XEM secara keseluruhan, menjadikan kesimpulan meliputi pasaran terlalu awal.
Peningkatan Keselamatan Kontrak Pintar dan Penyiasatan Lanjutan
Kerentanan yang dilaporkan menekankan kepentingan mengesahkan pertukaran yang telah selesai sebelum memperbaharui rekod jualan khusus token. Pembangun yang mengkaji mekanisme serupa harus mengkaji bagaimana perakaunan pindah berinteraksi dengan fungsi pengurusan likuiditi, terutamanya apabila panggilan berulang boleh memicu perubahan dalam simpanan. audit kontrak pintar bebas, simulasi transaksi, dan pengujian operasi berulang mungkin dapat mengenal pasti kelemahan yang dilalui oleh pemeriksaan transaksi terpisah. Secara lebih umum, memahami bagaimana eksploitasi kontrak pintar timbul boleh membantu menerangkan mengapa logik perakaunan khusus token memerlukan pemeriksaan walaupun fungsi pertukaran asas berfungsi seperti yang direka. Untuk NemTokenV2, pembaikan teknikal yang disahkan dan pelaksanaan yang telah disemak secara bebas akan memberikan bukti yang lebih kuat tentang pembaikan berbanding jaminan tanpa sokongan.
Perspektif Masa Depan untuk Likuiditi Token NEM dan Keyakinan Pelabur
Perkembangan penting seterusnya akan menjadi respons teknikal yang didokumenkan, pergerakan atau pemulihan USDT yang telah diekstrak yang telah disahkan, dan maklumat boleh dipercayai mengenai keadaan kolam perdagangan yang terkesan. Pembaikan kontrak yang disahkan atau penyiasatan yang telus boleh membantu peserta pasaran menilai sama ada kelemahan yang dikenal pasti telah ditangani. Sebaliknya, kelemahan perakaunan yang tidak terselesaikan dan likuiditi yang tidak stabil boleh mempersulitkan perdagangan dan penentuan harga. Ini adalah kemungkinan senario bukan ramalan yang telah disahkan, dan tiada jadual pemulihan atau sasaran harga token yang disahkan telah dikenal pasti. Kepentingan jangka panjang insiden ini akan bergantung kepada bukti pembaikan yang berkesan dan pelaporan yang telus, bukan ramalan pasaran spekulatif.
Kesimpulan
Pengeksploitasian token NEM pada 22 Oktober 2026 menunjukkan bagaimana kelemahan dalam pengiraan kontrak pintar tersuai boleh mengekspos likuiditi bursa terdesentralisasi kepada kerugian kewangan. SlowMist menganggarkan kerosakan pada kira-kira $821,920, dengan serangan yang dilaporkan melibatkan 42 operasi berulang yang memanipulasi simpanan sebelum penarikan USDT.
Soalan yang paling penting yang belum terjawab berkaitan dengan kesan kewangan akhir, sebarang dana yang dipulihkan, keselamatan kontrak yang terjejas, dan hubungannya dengan XEM asli. Sehingga butiran-butiran tersebut disahkan secara bebas, insiden ini paling baik difahami sebagai eksploitasi kolam likuiditi NemTokenV2 yang dilaporkan, bukan sebagai bukti kompromi yang mempengaruhi blok rantai NEM asal. Untuk peserta DeFi, ia menegaskan kepentingan pengesahan penyelesaian, pengenalan kontrak yang boleh dipercayai, dan pelaporan keselamatan yang telus.
Soalan Lazim
Bagaimana pengguna boleh mengesahkan kontrak NemTokenV2 yang terjejas?
Pengguna boleh membandingkan alamat kontrak yang diterbitkan dalam amaran keselamatan SlowMist dengan rekod Pengembara blok rantai, termasuk kod sumber yang disahkan, pindahan token, dan interaksi kontrak. Memeriksa alamat yang tepat adalah lebih boleh dipercayai daripada hanya menggunakan nama token kerana projek mata wang kripto yang tidak berkaitan boleh menggunakan nama atau simbol singkatan yang serupa.
Bagaimana pedagang boleh memeriksa sama ada dompet mereka berinteraksi dengan kolam likuiditi yang terkesan?
Pengguna boleh mengkaji sejarah transaksi dompet mereka pada Pengembara blok rantai yang berkaitan dan mengenal pasti pertukaran sebelumnya, deposit likuiditi, atau penarikan yang melibatkan pasangan USDT/NEM yang terkesan. Alamat kontrak dan rekod transaksi boleh membantu menentukan sama ada dompet berinteraksi dengan pasaran tersebut. Namun, interaksi sebelumnya tidak secara automatik menunjukkan kerugian kewangan.
Adakah eksploit token NEM membahayakan koin stabil USDT itu sendiri?
Tidak ada bukti yang disahkan bahawa kontrak pintar asas USDT telah dilanggar. Insiden yang dilaporkan melibatkan penarikan USDT melalui harga yang dimanipulasi dalam kolam likuiditi PancakeSwap tertentu. Kerentanan dalam satu kontrak token atau pasangan dagangan tidak menunjukkan kegagalan keselamatan yang mempengaruhi USDT di rangkaian atau bursa lain.
Adakah persetujuan token bermaksud dompet telah terjejas oleh eksploit?
No. Pengesahan token memberikan kebenaran kepada kontrak pintar untuk memindahkan jumlah mata wang kripto yang ditentukan, tetapi pengesahan sahaja tidak menunjukkan bahawa dana telah dipindahkan atau hilang. Pengguna boleh meninjau kebenaran perbelanjaan yang sedia ada dan mencabut pengesahan yang tidak lagi diperlukan. Mencabut kebenaran tidak memulihkan aset yang telah dikeluarkan daripada kolam likuiditi.
Bolehkah pedagang menjual token pada harga kolam likuiditi yang diputar secara artifisial?
Tidak semestinya. Kadar pertukaran yang dipaparkan mungkin berbeza daripada harga pelaksanaan sebenar kerana setiap dagangan mengubah keseimbangan aset kolam dan boleh melibatkan slippage dan caj. Jualan besar mungkin menerima jauh lebih rendah daripada sebut harga awal, terutamanya dalam kolam dengan likuiditi terhad. Harga yang dinaikkan secara buatan tidak sepatutnya dianggap sebagai petunjuk yang boleh dipercayai terhadap nilai pasaran yang boleh direalisasikan.
Adakah 42 manipulasi yang dilaporkan mewakili 42 transaksi blok rantai yang berasingan?
Tidak semestinya. Angka yang dilaporkan oleh SlowMist merujuk kepada 42 ulangan urutan manipulasi, bukan bilangan transaksi berasingan yang disahkan secara bebas. Satu transaksi blok rantai boleh melaksanakan pelbagai panggilan kontrak. Mengesahkan bilangan transaksi memerlukan semakan terhadap hash yang berkaitan dan jejak pelaksanaan.
Penafian: Maklumat pasaran umum ini, yang mungkin berasal dari sumber pihak ketiga, komersial, atau disponsori, disediakan semata-mata untuk rujukan dan tujuan pendidikan dan tidak merupakan nasihat kewangan atau pelaburan, tawaran, ajakan, atau jaminan. Kami menafikan tanggungjawab atas ketepatan, kelengkapan, kebolehpercayaan, dan sebarang kerugian yang timbul. Pelaburan/dagangan melibatkan risiko; prestasi lepas tidak menjamin keputusan masa depan. Pengguna harus menyelidik, menilai dengan bijak, dan mengambil tanggungjawab penuh. Untuk butiran lanjut, sila rujuk Terma Penggunaan dan Pendedahan Risiko KuCoin.
Penafian: Halaman ini telah diterjemahkan dengan menggunakan teknologi AI untuk keselesaan anda. Untuk mendapatkan maklumat yang paling tepat, rujuk kepada versi bahasa Inggeris asal.