Notional Finance, можливо, зазнала експлойту на суму 1,7 мільйона доларів, пов'язаного з ескроу-контрактом, повідомили блокчейн-дослідники 4 вересня. Заявлені збитки включають приблизно 69 242 доларів у DAI та 1,66 мільйона доларів у USDC.
Підсумок
- Дослідники повідомили про 1,7 мільйона доларів у DAI та USDC, які залишили ескроу-контракт, пов'язаний з Notional.
- Заявлені збитки становлять 69 242 доларів у DAI та 1 658 423 доларів у USDC, згідно з дослідниками Specter.
- Підозрюваний атакуючий обміняв стейблкоїни на 689,2 ETH перед внесенням коштів у Tornado Cash.
- PeckShield послався на висновки Specter, тоді як Notional публічно не підтвердив інцидент на момент останньої перевірки.
- Технічна причина експлойту, постраждалі користувачі та перспективи відновлення активів залишаються публічно непідтвердженими.
Компанія з безпеки PeckShield послалася на висновки, опубліковані групою блокчейн-розслідувань Specter. Жоден звіт не надав повного технічного пояснення того, як активи залишили контракт.
«Ескроу-контракт Notional Finance, можливо, був експлуатований», — заявив PeckShield, зберігаючи невизначеність щодо статусу інциденту.
Звіт про експлойт Notional Finance визначає дві адреси
Дослідники визначили дві адреси Ethereum, які, ймовірно, пов'язані з рухом активів. Перша адреса — 0xC954…De69, а друга — 0xDaCC…Ce38.
Адреси були позначені Specter як адреси крадіжки. Цей опис залишається атрибуцією дослідника, а не висновком, підтвердженим Notional Finance, правоохоронними органами чи судом.
Наявні звіти не визначають точну функцію ескроу, яка була задіяна. Вони також не встановлюють, чи була подія результатом вразливості смарт-контракту, скомпрометованих облікових даних, неправильних дозволів чи іншої причини.
Стейблкоїни, за повідомленнями, були конвертовані в 689,2 ETH
Підозрюваний атакуючий, за повідомленнями, обміняв DAI та USDC на приблизно 689,2 ETH. Потім Ether був внесений у Tornado Cash, згідно з Specter та PeckShield.
Tornado Cash — це набір смарт-контрактів Ethereum, призначених для зменшення видимого зв'язку між депозитами та подальшими зняттями. Його використання може ускладнити відстеження блокчейну, хоча внесення активів у протокол само по собі не доводить кримінальне володіння чи намір.
Швидка конвертація стейблкоїнів також може зменшити можливості емітентів або централізованих платформ обмежити активи. Як DAI, так і USDC можна публічно відстежувати до конвертації, тоді як подальші зняття з міксера стає важче пов'язати з оригінальною адресою.
У пов'язаному висвітленні crypto.news повідомив, що адреса, пов'язана з експлуататором Drift Protocol, перемістила 44 мільйони доларів через Tornado Cash після кількох місяців бездіяльності.
Технічна причина або офіційна відповідь відсутні
Notional Finance не опублікував публічний звіт про інцидент або підтвердження через свій офіційний акаунт на момент перевірки. Проєкт також не розкрив, чи були призупинені контракти, чи були захищені решта активів, чи потрібні користувачам захисні дії.
Відсутність підтвердження означає, що заявлений збиток у розмірі 1,7 мільйона доларів слід вважати попереднім. Також незрозуміло, чи належали постраждалі активи безпосередньо користувачам, казначейству протоколу чи іншій стороні, яка використовувала ескроу-контракт.
Жодну підтверджену реакцію ринку не можна пов'язувати з цим звітом. Без офіційної оцінки передчасно пов'язувати рух цін на токени або зміни вартості депозитів безпосередньо з підозрюваним експлойтом.
Попередні відновлення залежали від швидкої локалізації
Деякі проєкти все ж відновлювали позиції або захищали незачеплені продукти після атаки. Як повідомляло crypto.news, Term Labs відновив свої постраждалі позиції з фіксованою ставкою після експлойту управління на 8,5 мільйона доларів, хоча кілька продуктів залишилися закритими.
Stake DAO також забезпечив своє забезпечення в Ethereum і закрив міст після інциденту з несанкціонованим випуском токенів, згідно з відповідним висвітленням. Ці випадки включали прямі відповіді проєктів, яких наразі немає для Notional Finance.
Тим часом Notional Finance працює як кредитний протокол на основі Ethereum, зосереджений на позиках з фіксованою ставкою та фіксованим терміном. Його документація пояснює, що внесені валюти можуть підтримувати зобов'язання за позиками, виражені в інших валютах.
Це робить бухгалтерський облік на рівні контрактів і контроль забезпечення центральними для підтримки платоспроможних позицій користувачів. Однак дослідники не встановили, чи вплинув заявлений інцидент з ескроу на основну кредитну систему Notional, окрему інтеграцію чи старіший контракт.
DAI та USDC давно є частиною підтримуваних кредитних ринків Notional. Технічні матеріали протоколу описують валютні пари, що з'єднують ці стейблкоїни з їхніми відсотковими еквівалентами.
Таким чином, заявлений збиток стосується активів, що використовуються в ширшій кредитній архітектурі Notional, але наявні докази не показують, що відкриті позики, залишки забезпечення або позиції з фіксованим терміном були порушені. Перш ніж можна буде точно виміряти вплив, потрібна офіційна ідентифікація контракту.
Що далі для Notional Finance
Наступне підтверджене оновлення, ймовірно, має встановити, який контракт був задіяний, як були авторизовані транзакції та чи залишаються інші кошти під загрозою. Посмертний аналіз також міг би прояснити право власності на втрачені активи.
Слідчі можуть продовжувати відстежувати будь-який ефір, виведений з Tornado Cash. Біржі та компанії з аналізу блокчейну можуть моніторити подальші транзакції, але заявлені депозити в мікшер ускладнюють атрибуцію та відновлення. Поки Notional не опублікує оцінку, масштаб, причина та вплив на користувачів залишаються невирішеними.
