Eksploitasi Notional Finance Senilai $1,7 Juta
Notional Finance diduga mengalami eksploitasi senilai $1,7 juta yang melibatkan kontrak escrow, menurut laporan penyelidik blockchain pada 4 September. Kerugian yang dilaporkan mencakup sekitar $69.242 dalam DAI dan $1,66 juta dalam USDC. Perusahaan keamanan PeckShield mengutip temuan yang dipublikasikan oleh kelompok penyelidikan blockchain, Specter. Namun, laporan tersebut tidak memberikan penjelasan teknis lengkap mengenai bagaimana aset dapat meninggalkan kontrak. “Kontrak escrow Notional Finance mungkin telah dieksploitasi,” kata PeckShield, menekankan ketidakpastian mengenai status insiden tersebut.
Detail Eksploitasi dan Penelusuran Aset
Specter melaporkan bahwa kontrak escrow Notional Finance mungkin telah dieksploitasi, yang mengakibatkan kehilangan $1,7 juta dalam Ethereum (ETH) dan USDC. Pelaku diduga telah menukar dana yang dicuri menjadi 689,2 ETH dan menyetorkannya ke alamat tertentu. Peneliti mengidentifikasi dua alamat Ethereum yang diduga terkait dengan pergerakan aset tersebut:
- Alamat pertama: 0xC954…De69
- Alamat kedua: 0xDaCC…Ce38
Alamat-alamat ini diberi label sebagai alamat pencurian oleh Specter. Namun, deskripsi tersebut merupakan atribusi penyelidik dan belum dikonfirmasi oleh Notional Finance, penegak hukum, atau pengadilan.
Analisis Kerentanan dan Dampak
Laporan yang ada tidak mengidentifikasi fungsi escrow yang tepat yang terlibat dan tidak menjelaskan apakah peristiwa ini disebabkan oleh kerentanan smart contract, kredensial yang dikompromikan, izin yang salah, atau penyebab lainnya. Diduga, penyerang menukar DAI dan USDC menjadi sekitar 689,2 ETH. Ether tersebut kemudian disetorkan ke Tornado Cash, menurut Specter dan PeckShield. Tornado Cash adalah sekumpulan smart contract Ethereum yang dirancang untuk mengurangi keterkaitan antara setoran dan penarikan.
Penggunaan Tornado Cash dapat menyulitkan pelacakan di blockchain, meskipun menyetorkan aset ke dalam protokol tidak secara otomatis membuktikan kepemilikan atau niat kriminal. Konversi cepat stablecoin juga dapat mengurangi peluang bagi penerbit atau platform terpusat untuk membatasi aset. Baik DAI maupun USDC dapat dilacak secara publik sebelum konversi, sementara penarikan dari mixer menjadi lebih sulit untuk dihubungkan dengan alamat asli.
Respon dan Tindakan Selanjutnya
Dalam laporan terkait, crypto.news melaporkan bahwa sebuah alamat yang terkait dengan pelaku eksploitasi Drift Protocol memindahkan $44 juta melalui Tornado Cash setelah tidak aktif selama beberapa bulan. Notional Finance belum menerbitkan laporan insiden publik atau konfirmasi melalui akun resminya saat diperiksa. Proyek tersebut juga belum mengungkapkan apakah kontrak dihentikan, apakah aset yang tersisa telah diamankan, atau apakah pengguna perlu mengambil tindakan perlindungan.
Kurangnya konfirmasi berarti kerugian yang dilaporkan sebesar $1,7 juta harus dianggap sementara. Juga tidak jelas apakah aset yang terpengaruh secara langsung milik pengguna, kas protokol, atau pihak lain yang menggunakan kontrak escrow.
Reaksi Pasar dan Respons Proyek DeFi
Tidak ada reaksi pasar yang terverifikasi dapat dikaitkan dengan laporan tersebut. Tanpa penilaian resmi, menghubungkan pergerakan harga token atau perubahan nilai yang disetorkan secara langsung ke dugaan eksploitasi akan prematur. Proyek DeFi biasanya merespons dugaan eksploitasi dengan menghentikan kontrak yang rentan, menghubungi penerbit stablecoin dan bursa, melacak dompet yang terhubung, dan menawarkan perjanjian pengembalian.
Namun, opsi-opsi tersebut dapat menjadi lebih terbatas setelah aset masuk ke protokol privasi. Beberapa proyek masih berhasil memulihkan posisi atau melindungi produk yang tidak terpengaruh setelah serangan. Seperti yang dilaporkan crypto.news, Term Labs berhasil memulihkan posisi suku bunga tetap yang terpengaruh setelah eksploitasi tata kelola senilai $8,5 juta, meskipun beberapa produk tetap ditutup.
Operasional Notional Finance dan Pentingnya Keamanan
Sementara itu, Notional Finance beroperasi sebagai protokol peminjaman berbasis Ethereum yang fokus pada pinjaman suku bunga tetap dan jangka tetap. Dokumentasinya menjelaskan bahwa mata uang yang disetorkan dapat mendukung kewajiban pinjaman yang dinyatakan dalam mata uang lain. Ini menjadikan akuntansi tingkat kontrak dan kontrol jaminan sangat penting untuk mempertahankan posisi pengguna yang solvent.
Namun, para peneliti belum menetapkan apakah insiden escrow yang dilaporkan mempengaruhi sistem peminjaman utama Notional, integrasi terpisah, atau kontrak yang lebih lama. DAI dan USDC telah lama menjadi bagian dari pasar peminjaman yang didukung oleh Notional. Materi teknis protokol menggambarkan pasangan mata uang yang menghubungkan stablecoin tersebut dengan setara yang menghasilkan bunga.
Kerugian yang dilaporkan oleh karena itu melibatkan aset yang digunakan dalam arsitektur peminjaman yang lebih luas dari Notional, tetapi bukti yang tersedia tidak menunjukkan bahwa pinjaman terbuka, saldo jaminan, atau posisi jangka tetap terpengaruh.
Pentingnya Identifikasi Kontrak dan Penyelidikan Lanjutan
Identifikasi kontrak resmi diperlukan sebelum eksposur dapat diukur dengan akurat. Pembaruan yang dikonfirmasi berikutnya kemungkinan perlu menetapkan kontrak mana yang terlibat, bagaimana transaksi diotorisasi, dan apakah dana lain tetap terpapar. Sebuah post-mortem juga dapat memperjelas kepemilikan aset yang hilang.
Penyelidik mungkin terus melacak Ether yang ditarik dari Tornado Cash. Bursa dan perusahaan analitik blockchain dapat memantau transaksi selanjutnya, tetapi setoran mixer yang dilaporkan membuat atribusi dan pemulihan lebih sulit. Sampai Notional menerbitkan penilaian, skala, penyebab, dan dampak pada pengguna tetap belum terpecahkan.
