Notional Finance enfrenta un supuesto exploit de 1,7 millones de dólares

Notional Finance puede haber sufrido un exploit de 1,7 millones de dólares relacionado con un contrato de escrow, informaron investigadores de blockchain el 4 de septiembre. Las pérdidas reportadas incluyen aproximadamente 69,242 dólares en DAI y 1,66 millones de dólares en USDC.

Resumen

• Los investigadores reportaron 1,7 millones de dólares en DAI y USDC saliendo de un contrato de escrow vinculado a Notional.
• Las pérdidas reportadas comprenden 69,242 dólares en DAI y 1,658,423 dólares en USDC, según los investigadores de Specter.
• El atacante sospechoso intercambió los stablecoins por 689,2 ETH antes de depositar los fondos en Tornado Cash.
• PeckShield citó los hallazgos de Specter, mientras que Notional no había confirmado públicamente el incidente al momento de la última verificación.
• La causa técnica del exploit, los usuarios afectados y las perspectivas de recuperación de activos siguen sin confirmarse públicamente.

La firma de seguridad PeckShield citó hallazgos publicados por el grupo de investigación de blockchain Specter. Ninguno de los informes proporcionó una explicación técnica completa de cómo los activos salieron del contrato.

"El contrato de escrow de Notional Finance puede haber sido explotado", dijo PeckShield, manteniendo la incertidumbre sobre el estado del incidente.

El informe del exploit de Notional Finance identifica dos direcciones
Los investigadores identificaron dos direcciones de Ethereum supuestamente conectadas al movimiento de los activos. La primera dirección es 0xC954...De69, mientras que la segunda es 0xDaCC...Ce38.

Las direcciones fueron etiquetadas como direcciones de robo por Specter. Esa descripción sigue siendo una atribución de los investigadores en lugar de un hallazgo confirmado por Notional Finance, las fuerzas del orden o un tribunal.

Los informes disponibles no identifican la función de escrow precisa involucrada. Tampoco establecen si el evento resultó de una vulnerabilidad en el smart contract, credenciales comprometidas, permisos defectuosos u otra causa.

Los stablecoins fueron supuestamente convertidos en 689,2 ETH
El atacante sospechoso supuestamente intercambió el DAI y el USDC por aproximadamente 689,2 ETH. El Ether fue luego depositado en Tornado Cash, según Specter y PeckShield.

Tornado Cash es un conjunto de contratos inteligentes de Ethereum diseñados para reducir la conexión visible entre los depósitos y los retiros posteriores. Su uso puede complicar el rastreo en blockchain, aunque depositar activos en el protocolo no prueba de manera independiente la propiedad o intención criminal.

La rápida conversión de stablecoins también puede reducir las oportunidades para que los emisores o plataformas centralizadas restrinjan los activos. Tanto DAI como USDC pueden ser seguidos públicamente antes de la conversión, mientras que los retiros posteriores de un mezclador se vuelven más difíciles de asociar con la dirección original.

En una cobertura relacionada, crypto.news informó que una dirección vinculada al explotador del Drift Protocol movió 44 millones de dólares a través de Tornado Cash después de permanecer inactiva durante varios meses.

No hay causa técnica ni respuesta oficial disponible
Notional Finance no había publicado un informe público del incidente ni confirmación a través de su cuenta oficial cuando se verificó. El proyecto tampoco había divulgado si los contratos fueron pausados, si los activos restantes estaban asegurados o si los usuarios necesitaban tomar medidas de protección.

La falta de confirmación significa que la pérdida reportada de 1,7 millones de dólares debe seguir siendo descrita como preliminar. También es incierto si los activos afectados pertenecían directamente a los usuarios, al tesoro del protocolo o a otra parte que utilizaba el contrato de escrow.

No se puede atribuir ninguna reacción de mercado verificada al informe. Sin una evaluación oficial, vincular los movimientos de precios de los tokens o los cambios en el valor depositado directamente al supuesto exploit sería prematuro.

Las recuperaciones anteriores dependieron de una contención rápida
Los proyectos DeFi comúnmente responden a exploits sospechosos pausando contratos vulnerables, contactando a emisores de stablecoins y exchanges, rastreando billeteras conectadas y ofreciendo acuerdos de retorno. Esas opciones pueden volverse más limitadas después de que los activos ingresan a protocolos de privacidad.

Algunos proyectos aún han recuperado posiciones o protegido productos no afectados después de un ataque. Como informó crypto.news, Term Labs recuperó sus posiciones afectadas de tasa fija tras un exploit de gobernanza de 8,5 millones de dólares, aunque varios productos permanecieron cerrados.

Stake DAO también aseguró su respaldo en Ethereum y cerró un puente después de un incidente de acuñación no autorizada, según la cobertura relacionada. Esos casos involucraron respuestas directas del proyecto que aún no están disponibles para Notional Finance.

Mientras tanto, Notional Finance opera como un protocolo de préstamos basado en Ethereum enfocado en préstamos a tasa fija y a plazo fijo. Su documentación explica que las monedas depositadas pueden respaldar obligaciones de préstamo denominadas en otras monedas.

Esto hace que la contabilidad a nivel de contrato y los controles de colateral sean centrales para mantener posiciones solventes de los usuarios. Sin embargo, los investigadores no han establecido si el incidente de escrow reportado afectó el sistema de préstamos principal de Notional, una integración separada o un contrato más antiguo.

DAI y USDC han formado parte durante mucho tiempo de los mercados de préstamos soportados por Notional. Los materiales técnicos del protocolo describen pares de divisas que conectan esos stablecoins con sus equivalentes que generan intereses.

Por lo tanto, la pérdida reportada involucra activos utilizados dentro de la arquitectura de préstamos más amplia de Notional, pero la evidencia disponible no muestra que los préstamos abiertos, los saldos de colateral o las posiciones a plazo fijo se hayan visto afectados. Se necesita una identificación oficial del contrato antes de que la exposición pueda medirse con precisión.

¿Qué sucede a continuación para Notional Finance?
La próxima actualización confirmada probablemente necesitará establecer qué contrato estuvo involucrado, cómo se autorizaron las transacciones y si otros fondos siguen expuestos. Un análisis post-mortem también podría aclarar la propiedad de los activos perdidos.

Los investigadores pueden continuar rastreando cualquier Ether retirado de Tornado Cash. Los exchanges y las empresas de análisis de blockchain podrían monitorear transacciones posteriores, pero los depósitos reportados en el mezclador dificultan la atribución y recuperación. Hasta que Notional publique una evaluación, la escala, la causa y el efecto sobre los usuarios permanecen sin resolver.

Este contenido se ofrece únicamente con fines informativos generales y no constituye un asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, operar o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.