Notional Finance zmaga się z podejrzanym wyciekiem 1,7 miliona dolarów

Notional Finance mogło paść ofiarą wycieku w wysokości 1,7 miliona dolarów związanego z umową escrow, donieśli śledczy blockchainowi 4 września. Zgłoszone straty obejmują około 69 242 dolarów w DAI oraz 1,66 miliona dolarów w USDC.

Podsumowanie

• Badacze zgłosili, że 1,7 miliona dolarów w DAI i USDC opuściło umowę escrow powiązaną z Notional.
• Zgłoszone straty składają się z 69 242 dolarów w DAI oraz 1 658 423 dolarów w USDC, według badaczy z Specter.
• Podejrzany napastnik wymienił stablecoiny na 689,2 ETH, zanim wpłacił środki do Tornado Cash.
• PeckShield powołał się na ustalenia Specter, podczas gdy Notional nie potwierdziło publicznie incydentu w momencie ostatniego sprawdzenia.
• Techniczna przyczyna wycieku, dotknięci użytkownicy oraz perspektywy odzyskania aktywów pozostają publicznie niepotwierdzone.

Firma zabezpieczeń PeckShield powołała się na ustalenia opublikowane przez grupę śledczą blockchain Specter. Żaden z raportów nie dostarczył pełnego technicznego wyjaśnienia, jak aktywa opuściły umowę.

"Umowa escrow Notional Finance mogła zostać wykorzystana," powiedział PeckShield, zachowując niepewność co do statusu incydentu.

Raport o wycieku Notional Finance identyfikuje dwa adresy
Badacze zidentyfikowali dwa adresy Ethereum rzekomo związane z ruchem aktywów. Pierwszy adres to 0xC954...De69, a drugi to 0xDaCC...Ce38.

Adresy zostały oznaczone jako adresy kradzieży przez Specter. To określenie pozostaje przypisaniem śledczym, a nie ustaleniem potwierdzonym przez Notional Finance, organy ścigania ani sąd.

Dostępne raporty nie identyfikują precyzyjnej funkcji escrow, która była zaangażowana. Nie ustalają również, czy zdarzenie wynikało z luki w smart kontrakcie, skompromitowanych danych uwierzytelniających, wadliwych uprawnień czy innej przyczyny.

Stablecoiny rzekomo wymieniono na 689,2 ETH
Podejrzany napastnik rzekomo wymienił DAI i USDC na około 689,2 ETH. Ether został następnie wpłacony do Tornado Cash, według Specter i PeckShield.

Tornado Cash to zestaw smart kontraktów Ethereum zaprojektowanych w celu zmniejszenia widocznego połączenia między wpłatami a późniejszymi wypłatami. Jego użycie może skomplikować śledzenie blockchainowe, chociaż wpłacenie aktywów do protokołu nie dowodzi samodzielnie przestępczej własności ani zamiaru.

Szybka wymiana stablecoinów może również zmniejszyć możliwości dla emitentów lub scentralizowanych platform do ograniczenia aktywów. Zarówno DAI, jak i USDC można publicznie śledzić przed wymianą, podczas gdy późniejsze wypłaty z miksera stają się trudniejsze do powiązania z oryginalnym adresem.

W związku z tym, crypto.news doniosło, że adres powiązany z exploiterem Drift Protocol przeniósł 44 miliony dolarów przez Tornado Cash po kilku miesiącach nieaktywności.

Brak dostępnych przyczyn technicznych lub oficjalnej odpowiedzi
Notional Finance nie opublikowało publicznego raportu o incydencie ani potwierdzenia przez swoje oficjalne konto w momencie sprawdzenia. Projekt nie ujawnił również, czy umowy zostały wstrzymane, czy pozostałe aktywa zostały zabezpieczone, ani czy użytkownicy muszą podjąć działania ochronne.

Brak potwierdzenia oznacza, że zgłoszona strata w wysokości 1,7 miliona dolarów powinna pozostać opisana jako wstępna. Nie jest również jasne, czy dotknięte aktywa należały bezpośrednio do użytkowników, skarbu protokołu czy innej strony korzystającej z umowy escrow.

Nie można przypisać żadnej zweryfikowanej reakcji rynkowej do raportu. Bez oficjalnej oceny, łączenie ruchów cen tokenów lub zmian w wartości wpłaconej bezpośrednio z podejrzanym wyciekiem byłoby przedwczesne.

Poprzednie odzyski zależały od szybkiego ograniczenia
Projekty DeFi zazwyczaj reagują na podejrzane wycieki, wstrzymując podatne umowy, kontaktując się z emitentami stablecoinów i giełdami, śledząc powiązane portfele oraz oferując umowy zwrotu. Te opcje mogą stać się bardziej ograniczone po tym, jak aktywa wejdą do protokołów prywatności.

Niektóre projekty nadal odzyskały pozycje lub zabezpieczyły nietknięte produkty po ataku. Jak donosi crypto.news, Term Labs odzyskał swoje dotknięte pozycje o stałej stopie po wycieku w wysokości 8,5 miliona dolarów, chociaż kilka produktów pozostało zamkniętych.

Stake DAO również zabezpieczył swoje wsparcie Ethereum i zamknął most po incydencie nieautoryzowanego mintingu, według powiązanych informacji. Te przypadki dotyczyły bezpośrednich reakcji projektów, które nie są jeszcze dostępne dla Notional Finance.

Tymczasem Notional Finance działa jako protokół pożyczkowy oparty na Ethereum, skoncentrowany na pożyczkach o stałej stopie i stałym terminie. Jego dokumentacja wyjaśnia, że wpłacone waluty mogą wspierać zobowiązania pożyczkowe denominowane w innych walutach.

To sprawia, że księgowość na poziomie umowy i kontrola zabezpieczeń są kluczowe dla utrzymania wypłacalnych pozycji użytkowników. Jednak badacze nie ustalili, czy zgłoszony incydent escrow wpłynął na główny system pożyczkowy Notional, oddzielną integrację czy starszą umowę.

DAI i USDC od dawna stanowią część wspieranych rynków pożyczkowych Notional. Materiały techniczne protokołu opisują pary walutowe łączące te stablecoiny z ich odpowiednikami przynoszącymi odsetki.

Zgłoszona strata dotyczy zatem aktywów używanych w szerszej architekturze pożyczkowej Notional, ale dostępne dowody nie pokazują, że otwarte pożyczki, salda zabezpieczeń lub pozycje o stałym terminie zostały dotknięte. Wymagana jest oficjalna identyfikacja umowy, zanim ekspozycja może być dokładnie zmierzona.

Co dalej z Notional Finance
Następna potwierdzona aktualizacja prawdopodobnie będzie musiała ustalić, która umowa była zaangażowana, jak autoryzowano transakcje i czy inne fundusze pozostają narażone. Analiza po incydencie mogłaby również wyjaśnić własność utraconych aktywów.

Śledczy mogą kontynuować śledzenie wszelkiego Etheru wypłaconego z Tornado Cash. Giełdy i firmy analityczne blockchain mogą monitorować późniejsze transakcje, ale zgłoszone wpłaty do miksera utrudniają przypisanie i odzyskanie. Dopóki Notional nie opublikuje oceny, skala, przyczyna i wpływ na użytkowników pozostają nierozwiązane.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.