Notional Finance pourrait avoir subi une exploitation de 1,7 million de dollars impliquant un contrat de dépôt fiduciaire, ont rapporté des enquêteurs de la blockchain le 4 septembre. Les pertes signalées comprennent environ 69 242 $ en DAI et 1,66 million de dollars en USDC.
Résumé
- Des chercheurs ont signalé que 1,7 million de dollars en DAI et USDC ont quitté un contrat de dépôt fiduciaire lié à Notional.
- Les pertes signalées comprennent 69 242 $ en DAI et 1 658 423 $ en USDC, selon les chercheurs de Specter.
- L'attaquant présumé a échangé les stablecoins contre 689,2 ETH avant de déposer les fonds dans Tornado Cash.
- PeckShield a cité les conclusions de Specter, tandis que Notional n'avait pas publiquement confirmé l'incident lors de la dernière vérification.
- La cause technique de l'exploitation, les utilisateurs affectés et les perspectives de récupération des actifs restent publiquement non confirmés.
La société de sécurité PeckShield a cité les conclusions publiées par le groupe d'enquête blockchain Specter. Aucun des deux rapports n'a fourni d'explication technique complète sur la manière dont les actifs ont quitté le contrat.
« Le contrat de dépôt fiduciaire de Notional Finance pourrait avoir été exploité », a déclaré PeckShield, en préservant l'incertitude quant au statut de l'incident.
Le rapport d'exploitation de Notional Finance identifie deux adresses
Les chercheurs ont identifié deux adresses Ethereum prétendument liées au mouvement des actifs. La première adresse est 0xC954…De69, tandis que la seconde est 0xDaCC…Ce38.
Les adresses ont été étiquetées comme adresses de vol par Specter. Cette description reste une attribution d'enquêteur plutôt qu'une conclusion confirmée par Notional Finance, les forces de l'ordre ou un tribunal.
Les rapports disponibles n'identifient pas la fonction de dépôt fiduciaire précise impliquée. Ils n'établissent pas non plus si l'événement résultait d'une vulnérabilité de contrat intelligent, de credentials compromises, de permissions défectueuses ou d'une autre cause.
Les stablecoins auraient été convertis en 689,2 ETH
L'attaquant présumé aurait échangé les DAI et USDC contre environ 689,2 ETH. L'éther a ensuite été déposé dans Tornado Cash, selon Specter et PeckShield.
Tornado Cash est un ensemble de contrats intelligents Ethereum conçus pour réduire la connexion visible entre les dépôts et les retraits ultérieurs. Son utilisation peut compliquer le traçage de la blockchain, bien que le dépôt d'actifs dans le protocole ne prouve pas indépendamment la propriété ou l'intention criminelle.
La conversion rapide des stablecoins peut également réduire les opportunités pour les émetteurs ou les plateformes centralisées de restreindre les actifs. DAI et USDC peuvent tous deux être suivis publiquement avant la conversion, tandis que les retraits ultérieurs d'un mélangeur deviennent plus difficiles à associer à l'adresse d'origine.
Dans une couverture connexe, crypto.news a rapporté qu'une adresse liée à l'exploiteur du protocole Drift a déplacé 44 millions de dollars via Tornado Cash après être restée inactive pendant plusieurs mois.
Aucune cause technique ni réponse officielle n'est disponible
Notional Finance n'avait pas publié de rapport d'incident public ni de confirmation via son compte officiel lors de la vérification. Le projet n'avait pas non plus divulgué si les contrats avaient été suspendus, si les actifs restants étaient sécurisés ou si les utilisateurs devaient prendre des mesures de protection.
Le manque de confirmation signifie que la perte signalée de 1,7 million de dollars devrait rester décrite comme préliminaire. On ne sait pas non plus si les actifs concernés appartenaient directement aux utilisateurs, au trésor du protocole ou à une autre partie utilisant le contrat de dépôt.
Aucune réaction de marché vérifiée ne peut être attribuée au rapport. Sans évaluation officielle, il serait prématuré de lier directement les mouvements de prix des jetons ou les variations de la valeur déposée à l'exploit présumé.
Les récupérations précédentes dépendaient d'un confinement rapide
Certains projets ont encore récupéré des positions ou protégé des produits non affectés après une attaque. Comme l'a rapporté crypto.news, Term Labs a récupéré ses positions à taux fixe affectées après un exploit de gouvernance de 8,5 millions de dollars, bien que plusieurs produits soient restés fermés.
Stake DAO a également sécurisé son soutien Ethereum et fermé un pont après un incident de frappe non autorisée, selon une couverture connexe. Ces cas impliquaient des réponses directes de projets qui ne sont pas encore disponibles pour Notional Finance.
Pendant ce temps, Notional Finance fonctionne comme un protocole de prêt basé sur Ethereum, axé sur l'emprunt à taux fixe et à durée déterminée. Sa documentation explique que les devises déposées peuvent soutenir des obligations d'emprunt libellées dans d'autres devises.
Cela rend la comptabilité au niveau du contrat et les contrôles de garantie essentiels pour maintenir des positions utilisateur solvables. Cependant, les chercheurs n'ont pas établi si l'incident de dépôt signalé a affecté le système de prêt principal de Notional, une intégration distincte ou un contrat plus ancien.
DAI et USDC ont longtemps fait partie des marchés de prêt pris en charge par Notional. Les documents techniques du protocole décrivent des paires de devises reliant ces stablecoins à leurs équivalents portant intérêt.
La perte signalée implique donc des actifs utilisés dans l'architecture de prêt plus large de Notional, mais les preuves disponibles ne montrent pas que des prêts en cours, des soldes de garantie ou des positions à terme fixe aient été affectés. Une identification officielle du contrat est nécessaire avant de pouvoir mesurer avec précision l'exposition.
Quelle est la prochaine étape pour Notional Finance
La prochaine mise à jour confirmée devrait probablement établir quel contrat était impliqué, comment les transactions ont été autorisées et si d'autres fonds restent exposés. Un rapport post-mortem pourrait également clarifier la propriété des actifs perdus.
Les enquêteurs pourraient continuer à suivre tout Ether retiré de Tornado Cash. Les bourses et les sociétés d'analyse de blockchain pourraient surveiller les transactions ultérieures, mais les dépôts signalés dans le mélangeur rendent l'attribution et la récupération plus difficiles. Jusqu'à ce que Notional publie une évaluation, l'ampleur, la cause et l'effet sur les utilisateurs restent non résolus.
