Notional Finance puede haber sufrido un exploit de $1.7 millones que involucra un contrato de depósito en garantía, informaron investigadores de blockchain el 4 de septiembre. Las pérdidas reportadas incluyen aproximadamente $69,242 en DAI y $1.66 millones en USDC.
Resumen
- Investigadores reportaron $1.7 millones en DAI y USDC saliendo de un contrato de depósito en garantía vinculado a Notional.
- Las pérdidas reportadas comprenden $69,242 en DAI y $1,658,423 en USDC, según investigadores de Specter.
- El presunto atacante intercambió las monedas estables por 689.2 ETH antes de depositar los fondos en Tornado Cash.
- PeckShield citó los hallazgos de Specter, mientras que Notional no había confirmado públicamente el incidente cuando se verificó por última vez.
- La causa técnica del exploit, los usuarios afectados y las perspectivas de recuperación de activos siguen sin confirmarse públicamente.
La firma de seguridad PeckShield citó hallazgos publicados por el grupo de investigación de blockchain Specter. Ninguno de los informes proporcionó una explicación técnica completa de cómo los activos salieron del contrato.
"El contrato de depósito en garantía de Notional Finance puede haber sido explotado", dijo PeckShield, preservando la incertidumbre sobre el estado del incidente.
El informe del exploit de Notional Finance identifica dos direcciones
Los investigadores identificaron dos direcciones de Ethereum supuestamente conectadas al movimiento de los activos. La primera dirección es 0xC954…De69, mientras que la segunda es 0xDaCC…Ce38.
Las direcciones fueron etiquetadas como direcciones de robo por Specter. Esa descripción sigue siendo una atribución de los investigadores en lugar de un hallazgo confirmado por Notional Finance, las autoridades o un tribunal.
Los informes disponibles no identifican la función de depósito en garantía precisa involucrada. Tampoco establecen si el evento resultó de una vulnerabilidad de contrato inteligente, credenciales comprometidas, permisos defectuosos u otra causa.
Las monedas estables fueron supuestamente convertidas en 689.2 ETH
El presunto atacante supuestamente intercambió los DAI y USDC por aproximadamente 689.2 ETH. El Ether fue luego depositado en Tornado Cash, según Specter y PeckShield.
Tornado Cash es un conjunto de contratos inteligentes de Ethereum diseñados para reducir la conexión visible entre depósitos y retiros posteriores. Su uso puede complicar el rastreo de blockchain, aunque depositar activos en el protocolo no prueba de forma independiente propiedad criminal o intención.
La rápida conversión de monedas estables también puede reducir las oportunidades para que los emisores o plataformas centralizadas restrinjan los activos. Tanto DAI como USDC pueden ser seguidos públicamente antes de la conversión, mientras que los retiros posteriores de un mezclador se vuelven más difíciles de asociar con la dirección original.
En cobertura relacionada, crypto.news informó que una dirección vinculada al explotador de Drift Protocol movió $44 millones a través de Tornado Cash después de permanecer inactiva durante varios meses.
No hay causa técnica ni respuesta oficial disponible
Notional Finance no había publicado un informe de incidente público ni confirmación a través de su cuenta oficial cuando se verificó. El proyecto tampoco había revelado si los contratos fueron pausados, si los activos restantes fueron asegurados o si los usuarios necesitaban tomar medidas de protección.
La falta de confirmación significa que la pérdida reportada de $1.7 millones debería seguir describiéndose como preliminar. Tampoco está claro si los activos afectados pertenecían directamente a los usuarios, al tesoro del protocolo o a otra parte que utilizara el contrato de custodia.
No se puede atribuir ninguna reacción verificada del mercado al informe. Sin una evaluación oficial, vincular los movimientos del precio de los tokens o los cambios en el valor depositado directamente con el presunto exploit sería prematuro.
Recuperaciones anteriores dependieron de una contención rápida
Algunos proyectos aún han recuperado posiciones o protegido productos no afectados después de un ataque. Como informó crypto.news, Term Labs recuperó sus posiciones de tasa fija afectadas después de un exploit de gobernanza de $8.5 millones, aunque varios productos permanecieron cerrados.
Stake DAO también aseguró su respaldo en Ethereum y cerró un puente después de un incidente de acuñación no autorizada, según cobertura relacionada. Esos casos involucraron respuestas directas de los proyectos que aún no están disponibles para Notional Finance.
Mientras tanto, Notional Finance opera como un protocolo de préstamos basado en Ethereum centrado en préstamos a tasa fija y plazo fijo. Su documentación explica que las monedas depositadas pueden respaldar obligaciones de préstamo denominadas en otras monedas.
Esto hace que la contabilidad a nivel de contrato y los controles de garantía sean centrales para mantener posiciones de usuario solventes. Sin embargo, los investigadores no han establecido si el incidente de custodia reportado afectó al sistema de préstamos principal de Notional, a una integración separada o a un contrato más antiguo.
DAI y USDC han formado parte durante mucho tiempo de los mercados de préstamos compatibles de Notional. Los materiales técnicos del protocolo describen pares de monedas que conectan esas stablecoins con sus equivalentes que generan intereses.
Por lo tanto, la pérdida reportada involucra activos utilizados dentro de la arquitectura de préstamos más amplia de Notional, pero la evidencia disponible no muestra que los préstamos abiertos, los saldos de garantía o las posiciones a plazo fijo se hayan visto afectados. Se necesita una identificación oficial del contrato antes de que la exposición pueda medirse con precisión.
Qué sigue para Notional Finance
La próxima actualización confirmada probablemente necesitaría establecer qué contrato estuvo involucrado, cómo se autorizaron las transacciones y si otros fondos permanecen expuestos. Una autopsia también podría aclarar la propiedad de los activos perdidos.
Los investigadores podrían continuar rastreando cualquier Ether retirado de Tornado Cash. Los intercambios y las empresas de análisis de blockchain podrían monitorear transacciones posteriores, pero los depósitos reportados en mezcladores hacen que la atribución y la recuperación sean más difíciles. Hasta que Notional publique una evaluación, la escala, la causa y el efecto en los usuarios siguen sin resolverse.
