Mutmaßlicher Exploit bei Notional Finance
Notional Finance könnte einen mutmaßlichen Exploit in Höhe von 1,7 Millionen Dollar erlitten haben, der einen Treuhandvertrag betrifft, berichteten Blockchain-Ermittler am 4. September. Die gemeldeten Verluste umfassen etwa 69.242 Dollar in DAI und 1,66 Millionen Dollar in USDC. Die Sicherheitsfirma PeckShield verwies auf Ergebnisse, die von der Blockchain-Ermittlungsgruppe Specter veröffentlicht wurden.
Details des Vorfalls
Keiner der Berichte lieferte eine vollständige technische Erklärung dafür, wie die Vermögenswerte den Vertrag verlassen haben. „Der Treuhandvertrag von Notional Finance könnte ausgenutzt worden sein“, sagte PeckShield und ließ damit Ungewissheit über den Status des Vorfalls. Specter berichtete, dass der Treuhandvertrag von Notional Finance möglicherweise ausgenutzt wurde, was zu einem Verlust von 1,7 Millionen Dollar in DAI und USDC führte.
Der Angreifer hat die gestohlenen Mittel in etwa 689,2 ETH umgetauscht und in Tornado Cash eingezahlt. Forscher identifizierten zwei Ethereum-Adressen, die angeblich mit der Bewegung der Vermögenswerte verbunden sind: die erste Adresse ist 0xC954…De69, während die zweite 0xDaCC…Ce38 ist. Diese Adressen wurden von Specter als Diebstahlsadressen gekennzeichnet. Diese Zuordnung bleibt jedoch eine Einschätzung der Ermittler und ist kein von Notional Finance, der Strafverfolgung oder einem Gericht bestätigter Befund.
Unklarheiten und Auswirkungen
Die verfügbaren Berichte identifizieren nicht die genaue Treuhandfunktion, die betroffen ist, und stellen auch nicht fest, ob das Ereignis auf eine Schwachstelle im Smart Contract, kompromittierte Anmeldeinformationen, fehlerhafte Berechtigungen oder eine andere Ursache zurückzuführen ist. Der mutmaßliche Angreifer hat Berichten zufolge die DAI und USDC gegen etwa 689,2 ETH getauscht. Das Ether wurde dann laut Specter und PeckShield in Tornado Cash eingezahlt.
Tornado Cash ist eine Reihe von Ethereum-Smart Contracts, die darauf abzielen, die sichtbare Verbindung zwischen Einzahlungen und späteren Abhebungen zu verringern.
Die Nutzung kann die Blockchain-Nachverfolgung komplizieren, obwohl die Einzahlung von Vermögenswerten in das Protokoll nicht unabhängig kriminelles Eigentum oder Absicht beweist. Die schnelle Umwandlung von Stablecoins kann auch die Möglichkeiten für Emittenten oder zentralisierte Plattformen verringern, die Vermögenswerte einzuschränken.
Reaktionen und zukünftige Schritte
Sowohl DAI als auch USDC können öffentlich vor der Umwandlung verfolgt werden, während nachfolgende Abhebungen von einem Mixer schwieriger mit der ursprünglichen Adresse in Verbindung zu bringen sind. In verwandten Berichten berichtete crypto.news, dass eine Adresse, die mit dem Drift Protocol-Exploiter verbunden ist, 44 Millionen Dollar durch Tornado Cash bewegte, nachdem sie mehrere Monate inaktiv war.
Notional Finance hatte zum Zeitpunkt der Überprüfung keinen öffentlichen Vorfallbericht oder eine Bestätigung über sein offizielles Konto veröffentlicht. Das Projekt hatte auch nicht offengelegt, ob Verträge pausiert wurden, ob verbleibende Vermögenswerte gesichert wurden oder ob Benutzer Schutzmaßnahmen ergreifen mussten. Das Fehlen einer Bestätigung bedeutet, dass der gemeldete Verlust von 1,7 Millionen Dollar vorläufig bleiben sollte.
Es ist auch unklar, ob die betroffenen Vermögenswerte direkt den Benutzern, der Protokollkasse oder einer anderen Partei, die den Treuhandvertrag nutzt, gehörten. Eine verifizierte Marktreaktion auf den Bericht kann nicht festgestellt werden. Ohne eine offizielle Bewertung wäre es verfrüht, Bewegungen des Token-Preises oder Änderungen des eingezahlten Wertes direkt mit dem mutmaßlichen Exploit zu verknüpfen.
DeFi-Projekte reagieren häufig auf mutmaßliche Exploits, indem sie anfällige Verträge pausieren, Stablecoin-Emittenten und Börsen kontaktieren, verbundene Wallets nachverfolgen und Rückzahlungsvereinbarungen anbieten. Diese Optionen können eingeschränkter werden, nachdem Vermögenswerte in Datenschutzprotokolle eingetreten sind.
Schlussfolgerung
Bis Notional eine Bewertung veröffentlicht, bleiben das Ausmaß, die Ursache und die Auswirkungen auf die Benutzer ungelöst. Ermittler könnten weiterhin jede Ether-Nutzung nachverfolgen, die aus Tornado Cash abgehoben wurde. Börsen und Blockchain-Analyseunternehmen könnten spätere Transaktionen überwachen, aber die gemeldeten Mixer-Einzahlungen erschweren die Zuordnung und Rückgewinnung.
