Notional Finance, возможно, пострадал от эксплойта на сумму 1,7 миллиона долларов, связанного с эскроу-контрактом, сообщили блокчейн-исследователи 4 сентября. Сообщенные потери включают примерно 69 242 доллара в DAI и 1,66 миллиона долларов в USDC.
Резюме
- Исследователи сообщили о 1,7 миллиона долларов в DAI и USDC, покинувших эскроу-контракт, связанный с Notional.
- Сообщенные потери составляют 69 242 доллара в DAI и 1 658 423 доллара в USDC, согласно исследователям Specter.
- Предполагаемый злоумышленник обменял стейблкоины на 689,2 ETH перед внесением средств в Tornado Cash.
- PeckShield сослался на выводы Specter, в то время как Notional публично не подтвердил инцидент на момент последней проверки.
- Техническая причина эксплойта, пострадавшие пользователи и перспективы возврата активов остаются публично неподтвержденными.
Фирма по безопасности PeckShield сослалась на выводы, опубликованные группой блокчейн-расследований Specter. Ни в одном из отчетов не было дано полного технического объяснения того, как активы покинули контракт.
«Эскроу-контракт Notional Finance, возможно, был эксплуатирован», — заявил PeckShield, сохраняя неопределенность относительно статуса инцидента.
Отчет об эксплойте Notional Finance выявляет два адреса
Исследователи идентифицировали два адреса Ethereum, предположительно связанных с перемещением активов. Первый адрес — 0xC954…De69, второй — 0xDaCC…Ce38.
Адреса были помечены Specter как адреса кражи. Это описание остается атрибуцией исследователей, а не выводом, подтвержденным Notional Finance, правоохранительными органами или судом.
В доступных отчетах не указана точная функция эскроу, которая была задействована. Они также не устанавливают, было ли событие результатом уязвимости смарт-контракта, скомпрометированных учетных данных, ошибочных разрешений или другой причины.
Стейблкоины, по сообщениям, были конвертированы в 689,2 ETH
Предполагаемый злоумышленник, по сообщениям, обменял DAI и USDC на примерно 689,2 ETH. Затем эфир был внесен в Tornado Cash, согласно Specter и PeckShield.
Tornado Cash — это набор смарт-контрактов Ethereum, предназначенных для уменьшения видимой связи между депозитами и последующими выводами. Его использование может усложнить отслеживание в блокчейне, хотя внесение активов в протокол само по себе не доказывает преступное владение или намерение.
Быстрая конвертация стейблкоинов также может снизить возможности эмитентов или централизованных платформ по ограничению активов. Как DAI, так и USDC можно публично отслеживать до конвертации, в то время как последующие выводы из микшера становится труднее связать с исходным адресом.
В смежном освещении crypto.news сообщил, что адрес, связанный с эксплуататором Drift Protocol, переместил 44 миллиона долларов через Tornado Cash после нескольких месяцев бездействия.
Техническая причина или официальный ответ отсутствуют
Notional Finance не опубликовал публичный отчет об инциденте или подтверждение через свой официальный аккаунт на момент проверки. Проект также не раскрыл, были ли приостановлены контракты, были ли обеспечены оставшиеся активы или нужно ли пользователям предпринимать защитные меры.
Отсутствие подтверждения означает, что сообщаемый убыток в размере 1,7 миллиона долларов следует по-прежнему описывать как предварительный. Также неясно, принадлежали ли затронутые активы непосредственно пользователям, казначейству протокола или другой стороне, использующей эскроу-контракт.
Никакой подтвержденной рыночной реакции нельзя приписать этому отчету. Без официальной оценки было бы преждевременно напрямую связывать движения цен токенов или изменения стоимости депозитов с предполагаемой эксплойтом.
Предыдущие восстановления зависели от быстрой локализации
Некоторые проекты все же восстанавливали позиции или защищали незатронутые продукты после атаки. Как сообщал crypto.news, Term Labs восстановил свои затронутые позиции с фиксированной ставкой после эксплойта управления на 8,5 миллиона долларов, хотя несколько продуктов остались закрытыми.
Stake DAO также обеспечил свою поддержку Ethereum и закрыл мост после инцидента с несанкционированной эмиссией, согласно соответствующему освещению. В этих случаях были прямые ответы проектов, которых пока нет для Notional Finance.
Тем временем Notional Finance работает как протокол кредитования на основе Ethereum, ориентированный на заимствования с фиксированной ставкой и фиксированным сроком. Его документация объясняет, что внесенные валюты могут поддерживать обязательства по займам, выраженные в других валютах.
Это делает бухгалтерский учет на уровне контрактов и контроль залога центральными для поддержания платежеспособных позиций пользователей. Однако исследователи не установили, повлиял ли сообщаемый инцидент с эскроу на основную систему кредитования Notional, отдельную интеграцию или более старый контракт.
DAI и USDC давно являются частью поддерживаемых рынков кредитования Notional. Технические материалы протокола описывают валютные пары, связывающие эти стейблкоины с их процентными эквивалентами.
Таким образом, сообщаемый убыток связан с активами, используемыми в более широкой архитектуре кредитования Notional, но имеющиеся доказательства не показывают, что открытые займы, остатки залога или позиции с фиксированным сроком были затронуты. Для точной оценки подверженности риску необходима официальная идентификация контракта.
Что дальше для Notional Finance
Следующее подтвержденное обновление, вероятно, должно будет установить, какой контракт был задействован, как были авторизованы транзакции и остаются ли другие средства под угрозой. Посмертный анализ также мог бы прояснить право собственности на потерянные активы.
Следователи могут продолжать отслеживать любой эфир, выведенный из Tornado Cash. Биржи и компании по анализу блокчейна могли бы отслеживать последующие транзакции, но сообщаемые депозиты в микшере затрудняют атрибуцию и восстановление. Пока Notional не опубликует оценку, масштаб, причина и влияние на пользователей остаются нерешенными.
