A Notional Finance pode ter sofrido um exploit de US$ 1,7 milhão envolvendo um contrato de custódia, relataram investigadores de blockchain em 4 de setembro. As perdas relatadas incluem aproximadamente US$ 69.242 em DAI e US$ 1,66 milhão em USDC.
Resumo
- Pesquisadores relataram US$ 1,7 milhão em DAI e USDC saindo de um contrato de custódia ligado à Notional.
- As perdas relatadas compreendem US$ 69.242 em DAI e US$ 1.658.423 em USDC, de acordo com pesquisadores da Specter.
- O suposto atacante trocou as stablecoins por 689,2 ETH antes de depositar os fundos na Tornado Cash.
- A PeckShield citou as descobertas da Specter, enquanto a Notional não havia confirmado publicamente o incidente quando verificado pela última vez.
- A causa técnica do exploit, os usuários afetados e as perspectivas de recuperação de ativos permanecem não confirmados publicamente.
A empresa de segurança PeckShield citou descobertas publicadas pelo grupo de investigação de blockchain Specter. Nenhum dos relatórios forneceu uma explicação técnica completa de como os ativos saíram do contrato.
"O contrato de custódia da Notional Finance pode ter sido explorado", disse a PeckShield, preservando a incerteza sobre o status do incidente.
Relatório do exploit da Notional Finance identifica dois endereços
Os pesquisadores identificaram dois endereços Ethereum supostamente conectados ao movimento dos ativos. O primeiro endereço é 0xC954…De69, enquanto o segundo é 0xDaCC…Ce38.
Os endereços foram rotulados como endereços de roubo pela Specter. Essa descrição permanece uma atribuição de investigador, em vez de uma descoberta confirmada pela Notional Finance, aplicação da lei ou tribunal.
Os relatórios disponíveis não identificam a função de custódia precisa envolvida. Eles também não estabelecem se o evento resultou de uma vulnerabilidade de contrato inteligente, credenciais comprometidas, permissões defeituosas ou outra causa.
Stablecoins foram supostamente convertidas em 689,2 ETH
O suposto atacante supostamente trocou o DAI e o USDC por aproximadamente 689,2 ETH. O Ether foi então depositado na Tornado Cash, de acordo com Specter e PeckShield.
Tornado Cash é um conjunto de contratos inteligentes Ethereum projetados para reduzir a conexão visível entre depósitos e saques posteriores. Seu uso pode complicar o rastreamento de blockchain, embora depositar ativos no protocolo não prove independentemente propriedade ou intenção criminosa.
A rápida conversão de stablecoins também pode reduzir as oportunidades para emissores ou plataformas centralizadas restringirem os ativos. Tanto o DAI quanto o USDC podem ser seguidos publicamente antes da conversão, enquanto saques subsequentes de um mixer se tornam mais difíceis de associar ao endereço original.
Em cobertura relacionada, o crypto.news relatou que um endereço ligado ao explorador do Drift Protocol moveu US$ 44 milhões através da Tornado Cash depois de permanecer inativo por vários meses.
Nenhuma causa técnica ou resposta oficial está disponível
A Notional Finance não havia publicado um relatório de incidente público ou confirmação através de sua conta oficial quando verificado. O projeto também não divulgou se os contratos foram pausados, se os ativos restantes foram protegidos ou se os usuários precisavam tomar medidas de proteção.
A falta de confirmação significa que a perda relatada de US$ 1,7 milhão deve permanecer descrita como preliminar. Também não está claro se os ativos afetados pertenciam diretamente aos usuários, ao tesouro do protocolo ou a outra parte que usava o contrato de custódia.
Nenhuma reação de mercado verificada pode ser atribuída ao relatório. Sem uma avaliação oficial, vincular movimentos de preços de tokens ou mudanças no valor depositado diretamente à suspeita exploração seria prematuro.
Recuperações anteriores dependeram de contenção rápida
Alguns projetos ainda recuperaram posições ou protegeram produtos não afetados após um ataque. Como o crypto.news relatou, a Term Labs recuperou suas posições de taxa fixa afetadas após uma exploração de governança de US$ 8,5 milhões, embora vários produtos tenham permanecido fechados.
A Stake DAO também garantiu seu respaldo Ethereum e fechou uma ponte após um incidente de cunhagem não autorizada, de acordo com cobertura relacionada. Esses casos envolveram respostas diretas dos projetos que ainda não estão disponíveis para a Notional Finance.
Enquanto isso, a Notional Finance opera como um protocolo de empréstimo baseado em Ethereum, focado em empréstimos de taxa fixa e prazo fixo. Sua documentação explica que as moedas depositadas podem suportar obrigações de empréstimo denominadas em outras moedas.
Isso torna a contabilidade em nível de contrato e os controles de garantia centrais para manter posições de usuários solventes. No entanto, os pesquisadores não estabeleceram se o incidente de custódia relatado afetou o sistema de empréstimo principal da Notional, uma integração separada ou um contrato mais antigo.
DAI e USDC há muito fazem parte dos mercados de empréstimo suportados pela Notional. Os materiais técnicos do protocolo descrevem pares de moedas conectando essas stablecoins com seus equivalentes que rendem juros.
A perda relatada, portanto, envolve ativos usados dentro da arquitetura de empréstimo mais ampla da Notional, mas as evidências disponíveis não mostram que empréstimos abertos, saldos de garantia ou posições de prazo fixo foram afetados. Uma identificação oficial do contrato é necessária antes que a exposição possa ser medida com precisão.
O que acontece a seguir para a Notional Finance
A próxima atualização confirmada provavelmente precisaria estabelecer qual contrato estava envolvido, como as transações foram autorizadas e se outros fundos permanecem expostos. Uma análise post-mortem também poderia esclarecer a propriedade dos ativos perdidos.
Os investigadores podem continuar rastreando qualquer Ether retirado do Tornado Cash. Corretoras e empresas de análise de blockchain poderiam monitorar transações posteriores, mas os depósitos relatados no mixer tornam a atribuição e a recuperação mais difíceis. Até que a Notional publique uma avaliação, a escala, a causa e o efeito sobre os usuários permanecem sem solução.
