Insidente ng Pagsasamantala sa Notional Finance
Ayon sa mga ulat ng mga investigator sa blockchain noong Setyembre 4, maaaring nakaranas ang Notional Finance ng $1.7 milyong pagsasamantala na may kinalaman sa isang escrow contract. Kasama sa mga naitalang pagkalugi ang humigit-kumulang $69,242 sa DAI at $1.66 milyon sa USDC. Binanggit ng security firm na PeckShield ang mga natuklasan na inilathala ng grupong imbestigasyon sa blockchain na Specter. Sa kasalukuyan, walang ulat na nagbigay ng kumpletong teknikal na paliwanag kung paano nawala ang mga asset mula sa kontrata.
“Maaaring na-exploit ang escrow contract ng Notional Finance,” sabi ni PeckShield, na nag-iwan ng kawalang-katiyakan tungkol sa katayuan ng insidente.
Mga Detalye ng Pagsasamantala
Iniulat ng Specter na ang escrow contract ng Notional Finance ay maaaring na-exploit, na nagresulta sa pagkawala ng $1.7M sa Ethereum (address: 0x6b175474e89094c44da98b954eedeac495271d0f) at USDC. Ang nag-exploit ay nagpalit ng mga ninakaw na pondo sa 689.2 ETH at idineposito ang mga ito sa isang hindi natukoy na address. Nakilala ng mga mananaliksik ang dalawang Ethereum address na diumano’y konektado sa paggalaw ng mga asset: 0xC954…De69 at 0xDaCC…Ce38. Ang mga address na ito ay tinawag na mga address ng pagnanakaw ng Specter. Gayunpaman, ang paglalarawan na iyon ay nananatiling isang atribusyon ng imbestigador at hindi pa nakumpirma ng Notional Finance, mga awtoridad, o isang hukuman.
Mga Teknikal na Aspeto at Pagsubok sa Pagsubaybay
Ang mga magagamit na ulat ay hindi tumutukoy sa tiyak na escrow function na kasangkot, at hindi rin nila itinatag kung ang kaganapan ay resulta ng isang kahinaan sa smart contract, nakompromisong kredensyal, maling pahintulot, o ibang sanhi. Iniulat na ang hinihinalang umaatake ay nagpalit ng DAI at USDC para sa humigit-kumulang 689.2 ETH. Ang Ether ay pagkatapos ay idineposito sa Tornado Cash, ayon sa Specter at PeckShield. Ang Tornado Cash ay isang set ng mga smart contract sa Ethereum na dinisenyo upang bawasan ang nakikitang koneksyon sa pagitan ng mga deposito at mga susunod na pag-withdraw.
Reaksyon ng Notional Finance
Hanggang sa kasalukuyan, ang Notional Finance ay hindi naglathala ng pampublikong ulat ng insidente o kumpirmasyon sa pamamagitan ng kanilang opisyal na account. Ang proyekto ay hindi rin nagbigay ng impormasyon kung ang mga kontrata ay pinahinto, kung ang natitirang mga asset ay na-secure, o kung ang mga gumagamit ay kailangang gumawa ng mga hakbang sa proteksyon. Ang kakulangan ng kumpirmasyon ay nangangahulugang ang iniulat na $1.7 milyong pagkalugi ay dapat manatiling inilarawan bilang paunang.
Mga Posibleng Hakbang at Tugon
Karaniwang tumutugon ang mga proyekto ng DeFi sa mga hinihinalang pagsasamantala sa pamamagitan ng pagpahinto ng mga mahihinang kontrata, pakikipag-ugnayan sa mga issuer ng stablecoin at mga palitan, pagsubaybay sa mga konektadong wallet, at pag-aalok ng mga kasunduan sa pagbabalik. Ang mga opsyon na iyon ay maaaring maging mas limitado pagkatapos pumasok ang mga asset sa mga privacy protocol.
Pagkakataon ng Pagbawi
Ang ilang mga proyekto ay nakabawi pa rin ng mga posisyon o pinrotektahan ang mga hindi naapektuhang produkto pagkatapos ng isang pag-atake. Tulad ng iniulat ng crypto.news, nakabawi ang Term Labs ng kanilang mga naapektuhang fixed-rate na posisyon matapos ang isang $8.5 milyong governance exploit, bagaman ang ilang mga produkto ay nanatiling sarado.
Konklusyon
Samantala, ang Notional Finance ay nagpapatakbo bilang isang Ethereum-based lending protocol na nakatuon sa fixed-rate, fixed-term borrowing. Gayunpaman, hindi pa natutukoy ng mga mananaliksik kung ang iniulat na insidente ng escrow ay nakaapekto sa pangunahing lending system ng Notional, isang hiwalay na integrasyon, o isang mas lumang kontrata. Ang susunod na nakumpirmang update ay malamang na kailangang itatag kung aling kontrata ang kasangkot, kung paano na-authorize ang mga transaksyon, at kung may iba pang pondo na nananatiling exposed.
