Notional Finance стикається з підозрюваним експлойтом на $1,7 млн

Notional Finance, можливо, зазнав експлойту на $1,7 мільйона, пов'язаного з ескроу-контрактом, повідомили блокчейн-дослідники 4 вересня. Згідно з повідомленнями, втрати включають приблизно $69,242 у DAI та $1,66 мільйона в USDC.

Резюме

• Дослідники повідомили про $1,7 мільйона в DAI та USDC, які покинули ескроу-контракт, пов'язаний з Notional.
• Згідно з даними дослідників Specter, повідомлені втрати складають $69,242 у DAI та $1,658,423 в USDC.
• Підозрюваний нападник обміняв стейблкоїни на 689,2 ETH перед тим, як внести кошти в Tornado Cash.
• PeckShield посилався на висновки Specter, тоді як Notional не підтвердив інцидент публічно на момент останньої перевірки.
• Технічна причина експлойту, постраждалі користувачі та перспективи відновлення активів залишаються публічно непідтвердженими.

Безпекова компанія PeckShield посилається на дані, опубліковані групою блокчейн-досліджень Specter. Жоден з звітів не надав повного технічного пояснення того, як активи покинули контракт.

"Ескроу-контракт Notional Finance, можливо, був експлуатований," - сказав PeckShield, зберігаючи невизначеність щодо статусу інциденту.

Звіт про експлойт Notional Finance ідентифікує дві адреси
Дослідники ідентифікували дві адреси Ethereum, які нібито пов'язані з переміщенням активів. Перша адреса - 0xC954...De69, тоді як друга - 0xDaCC...Ce38.

Ці адреси були позначені як адреси крадіжки Specter. Це опис залишається атрибуцією дослідника, а не висновком, підтвердженим Notional Finance, правоохоронними органами або судом.

Доступні звіти не ідентифікують точну функцію ескроу, що була залучена. Вони також не встановлюють, чи сталося подія внаслідок вразливості смарт-контракту, скомпрометованих облікових даних, неправильних дозволів чи іншої причини.

Стейблкоїни, як повідомляється, були конвертовані в 689,2 ETH
Підозрюваний нападник, як повідомляється, обміняв DAI та USDC на приблизно 689,2 ETH. Потім ефір був внесений у Tornado Cash, згідно з даними Specter та PeckShield.

Tornado Cash - це набір смарт-контрактів Ethereum, призначених для зменшення видимого зв'язку між депозитами та подальшими зняттями. Його використання може ускладнити трасування блокчейну, хоча внесення активів у протокол не доводить кримінальну власність чи намір.

Швидка конвертація стейблкоїнів також може зменшити можливості для емітентів або централізованих платформ обмежити активи. Як DAI, так і USDC можуть бути публічно відстежені до конвертації, тоді як подальші зняття з міксера стають важчими для асоціації з початковою адресою.

У пов'язаній новині crypto.news повідомив, що адреса, пов'язана з експлойтером Drift Protocol, перемістила $44 мільйони через Tornado Cash після кількох місяців бездіяльності.

Немає технічної причини або офіційної відповіді
Notional Finance не опублікував публічний звіт про інцидент або підтвердження через свій офіційний акаунт на момент перевірки. Проект також не розкрив, чи були контракти призупинені, чи були залишкові активи забезпечені, або чи потрібно користувачам вжити захисних заходів.

Відсутність підтвердження означає, що повідомлена втрата в $1,7 мільйона повинна залишатися описаною як попередня. Також неясно, чи належали постраждалі активи безпосередньо користувачам, казначейству протоколу або іншій стороні, що використовує ескроу-контракт.

Жодна перевірена реакція ринку не може бути пов'язана з цим звітом. Без офіційної оцінки пов'язувати рухи цін токенів або зміни в депозитній вартості безпосередньо з підозрюваним експлойтом було б передчасно.

Попередні відновлення залежали від швидкого обмеження
Проекти DeFi зазвичай реагують на підозрювані експлойти, призупиняючи вразливі контракти, зв'язуючись з емітентами стейблкоїнів та біржами, відстежуючи пов'язані гаманці та пропонуючи угоди про повернення. Ці варіанти можуть стати більш обмеженими після того, як активи потраплять у протоколи конфіденційності.

Деякі проекти все ще відновили позиції або захистили неушкоджені продукти після атаки. Як повідомляло crypto.news, Term Labs відновив свої вразливі позиції з фіксованою ставкою після експлойту управління на $8,5 мільйона, хоча кілька продуктів залишилися закритими.

Stake DAO також забезпечив своє забезпечення Ethereum та закрив міст після інциденту з несанкціонованим карбуванням, згідно з пов'язаними новинами. Ці випадки включали прямі відповіді проекту, які ще не доступні для Notional Finance.

Тим часом Notional Finance працює як кредитний протокол на базі Ethereum, зосереджений на кредитуванні з фіксованою ставкою та фіксованим терміном. Його документація пояснює, що внесені валюти можуть підтримувати кредитні зобов'язання, деноміновані в інших валютах.

Це робить обліковий облік на рівні контракту та контроль за забезпеченням центральними для підтримки платоспроможних позицій користувачів. Однак дослідники не встановили, чи вплинув повідомлений інцидент з ескроу на основну кредитну систему Notional, окрему інтеграцію або старіший контракт.

DAI та USDC вже давно є частиною підтримуваних кредитних ринків Notional. Технічні матеріали протоколу описують валютні пари, що з'єднують ці стейблкоїни з їхніми еквівалентами з процентним доходом.

Таким чином, повідомлена втрата стосується активів, які використовуються в більш широкій кредитній архітектурі Notional, але доступні докази не показують, що відкриті кредити, баланси забезпечення або позиції з фіксованим терміном були під впливом. Необхідна офіційна ідентифікація контракту, перш ніж можна буде точно виміряти експозицію.

Що далі для Notional Finance
Наступне підтверджене оновлення, ймовірно, повинно встановити, який контракт був залучений, як були авторизовані транзакції та чи залишаються інші кошти під загрозою. Постмортем також може прояснити власність втрачених активів.

Дослідники можуть продовжити відстежувати будь-який ефір, виведений з Tornado Cash. Біржі та компанії з аналізу блокчейну можуть моніторити подальші транзакції, але повідомлені депозити в міксер ускладнюють атрибуцію та відновлення. Поки Notional не опублікує оцінку, масштаб, причина та вплив на користувачів залишаються невирішеними.

Цей контент надано лише для загальних інформаційних цілей і не є фінансовою, інвестиційною, юридичною чи податковою консультацією. Події, нагороди, онлайн-акцій або пов’язану інформацію, згадана тут, не слід розглядати як рекомендацію, прохання чи запрошення до купівлі, продажу, торгівлі чи інших операцій з криптоактивами. Криптоактиви є дуже волатильними та можуть призвести до збитків. Доступність послуг, продуктів WEEX та пов’язаних із ними подій може відрізнятися залежно від регіону. Ви несете відповідальність за забезпечення відповідності вашої участі чинному місцевому законодавству та нормативним актам.