Nemo Protocol : Exploit de 2,6M$ et Code Non Audité

Un dimanche soir, alors que la communauté crypto se préparait à une nouvelle semaine, une alerte retentissante a secoué l’écosystème DeFi : Nemo Protocol, une plateforme basée sur la blockchain Sui, a été victime d’un exploit dévastateur de 2,6 millions de dollars. Cet incident, loin d’être isolé, soulève des questions brûlantes sur la sécurité des protocoles décentralisés et l’importance des audits de code. Comment une faille aussi critique a-t-elle pu passer inaperçue ? Plongeons dans les détails de cet exploit, ses causes, ses conséquences et les leçons à tirer pour l’avenir de la finance décentralisée.

Un Exploit qui Ébranle Nemo Protocol

Le 7 septembre 2025, Nemo Protocol, une plateforme de yield trading sur la blockchain Sui, a subi une attaque qui a entraîné une perte de 2,59 millions de dollars en USDC. Cet incident a non seulement vidé une partie des fonds de la plateforme, mais a également fait plonger sa Total Value Locked (TVL) de plus de 6 millions à environ 1,5 million de dollars, selon les données de DeFiLlama. L’attaque, signalée en premier par la firme de sécurité blockchain PeckShield, a mis en lumière des failles critiques dans la gestion du code de Nemo.

Nous avons sous-estimé l’importance d’un contrôle rigoureux à chaque étape du déploiement. Cet incident est une leçon douloureuse pour notre équipe.

Équipe Nemo Protocol

Que s’est-il passé lors de l’attaque ?

L’exploit a exploité deux vulnérabilités majeures dans le code de Nemo. La première concernait une fonction de flash loan qui, par erreur, était accessible publiquement au lieu d’être restreinte à un usage interne. La seconde était une fonction de tarification défectueuse, censée uniquement lire les données, mais capable de modifier l’état interne du contrat. Ces deux failles ont permis à l’attaquant de manipuler les prix, d’emprunter des fonds massifs et de drainer le liquidity pool de Nemo.

Dans les 30 premières minutes, l’équipe de Nemo a détecté des rendements anormaux, atteignant jusqu’à 30 fois les valeurs habituelles, et a immédiatement suspendu les contrats intelligents via un portefeuille multi-signature. Malheureusement, la majeure partie des fonds avait déjà été transférée hors chaîne, rendant la récupération complexe.

Une Erreur Humaine au Cœur du Problème

Le rapport post-mortem publié par Nemo le 10 septembre a révélé une vérité troublante : l’exploit était le résultat d’un code non audité, déployé par un développeur non identifié. Ce dernier a introduit de nouvelles fonctionnalités sans l’approbation des auditeurs de MoveBit, mélangeant du code non vérifié avec des correctifs audités. Ce manque de transparence a échappé aux processus internes de l’équipe.

Le déploiement de code non audité sous contrôle d’une seule signature est une erreur que nous ne répéterons pas.

Équipe Nemo Protocol

Le problème a été aggravé par l’utilisation d’une adresse à signature unique pour les mises à jour du protocole, permettant au développeur de déployer le code sans supervision. Bien que des audits préliminaires d’Asymptotic aient signalé une vulnérabilité similaire dès le 11 août, l’équipe de Nemo, alors concentrée sur d’autres priorités, n’a pas agi à temps pour corriger le problème.

Les Conséquences pour Nemo et la Communauté

L’impact de l’exploit a été immédiat et dévastateur. Outre la perte financière, la confiance des utilisateurs a été ébranlée. Sur Discord, de nombreux membres ont signalé que leurs actifs déposés dans les vaults de Nemo n’apparaissaient plus, bien que l’équipe ait assuré que ces fonds étaient intacts. La communication limitée de l’équipe, notamment sur Telegram et Discord, a amplifié la frustration de la communauté.

Les fonds volés ont été rapidement transférés d’Arbitrum vers Ethereum via le pont de Circle, puis convertis en DAI et ETH pour éviter un gel potentiel par Circle, l’émetteur d’USDC. Cette manœuvre sophistiquée montre la complexité croissante des attaques dans l’écosystème DeFi.

Le Contexte d’une Année Noire pour la Sécurité Crypto

L’exploit de Nemo s’inscrit dans une série alarmante d’attaques contre les protocoles DeFi en 2025. Selon le rapport de mi-année de Chainalysis, les pertes liées aux hacks crypto ont dépassé 2,17 milliards de dollars cette année, surpassant déjà le total de 2024. Les protocoles DeFi, représentant 76 % des incidents, sont particulièrement vulnérables en raison de leur complexité et de leur dépendance aux contrats intelligents.

Les audits traditionnels, statiques et axés sur le pré-lancement, échouent à identifier les vulnérabilités post-déploiement dans les environnements dynamiques de la DeFi.

Mitchell Amador, PDG d’Immunefi

Le réseau Sui, bien qu’en croissance rapide grâce à ses capacités de haute performance, n’est pas épargné. En mai 2025, le protocole Cetus, également basé sur Sui, a subi un exploit de 223 millions de dollars en raison d’une faille dans une bibliothèque tierce. Ces incidents répétés soulignent les défis auxquels font face les blockchains émergentes dans un secteur où la sécurité est souvent reléguée au second plan face à l’innovation.

Les Mesures Correctives de Nemo

Face à la crise, Nemo a réagi rapidement pour limiter les dégâts. L’équipe a corrigé les vulnérabilités en supprimant la fonction de flash loan et en ajustant la fonction de tarification pour qu’elle ne puisse plus modifier les données internes. Un audit d’urgence a été lancé, et Nemo collabore avec plusieurs firmes de sécurité pour examiner le code mis à jour.

En parallèle, Nemo travaille avec des exchanges, des firmes de sécurité et des autorités pour traquer les fonds volés. L’équipe a également promis de réinitialiser les données corrompues sur la chaîne et de rééquilibrer les pools de liquidité pour rétablir un fonctionnement normal.

Vers une Sécurité Renforcée dans la DeFi

Cet incident met en lumière une vérité incontournable : la sécurité dans la DeFi ne peut plus être une réflexion après coup. Les protocoles doivent adopter des pratiques plus rigoureuses, notamment des audits complets, des programmes de bug bounty et des mécanismes de gouvernance multi-signatures pour éviter les déploiements non autorisés.

Pour Nemo, les prochaines étapes incluent des changements structurels majeurs. L’équipe s’engage à instaurer des contrôles plus stricts pour les mises à jour, à élargir ses programmes de chasse aux bugs et à renforcer la transparence avec sa communauté. Ces mesures, bien que tardives, pourraient servir de modèle pour d’autres protocoles cherchant à éviter des catastrophes similaires.

Les Leçons pour l’Écosystème Crypto

L’exploit de Nemo Protocol n’est pas un cas isolé, mais un symptôme d’un problème plus large dans l’industrie crypto. La course à l’innovation, souvent au détriment de la sécurité, expose les utilisateurs à des risques majeurs. Les ponts inter-chaînes, comme celui utilisé pour transférer les fonds volés, restent des cibles privilégiées, représentant 69 % des fonds volés en 2022 selon un rapport de Chainalysis.

En fin de compte, l’incident de Nemo Protocol rappelle que la finance décentralisée, bien que prometteuse, reste un terrain miné. Les utilisateurs doivent faire preuve de prudence, diversifiant leurs actifs et testant les plateformes avec de petites sommes avant de s’engager pleinement. Pour les développeurs, la priorité doit être la sécurité, car une seule faille peut anéantir des années de travail et de confiance.

L’Avenir de Nemo et de la DeFi

Nemo Protocol, malgré cette crise, a une chance de rebondir. En mettant en œuvre un plan de compensation équitable et en renforçant ses pratiques de sécurité, la plateforme pourrait regagner la confiance de sa communauté. Cependant, cet incident doit servir d’avertissement à l’ensemble de l’écosystème DeFi : sans une sécurité irréprochable, même les projets les plus innovants risquent de s’effondrer.

La DeFi ne peut prospérer que si la sécurité devient une priorité absolue, au même titre que l’innovation.

Analyste crypto anonyme

Alors que la blockchain Sui continue de croître, attirant de nouveaux projets et utilisateurs, elle doit également investir dans des infrastructures sécurisées pour éviter de devenir un terrain de jeu pour les hackers. L’avenir de la DeFi dépend de la capacité des équipes à apprendre de ces erreurs et à construire des systèmes résilients, capables de résister aux attaques de plus en plus sophistiquées.