Exploit en Notional Finance
Notional Finance podría haber sufrido un exploit de $1.7 millones relacionado con un contrato de escrow, según informaron investigadores de blockchain el 4 de septiembre. Las pérdidas reportadas incluyen aproximadamente $69,242 en DAI y $1.66 millones en USDC. La firma de seguridad PeckShield citó hallazgos publicados por el grupo de investigación de blockchain Specter. Sin embargo, ninguno de los informes proporcionó una explicación técnica completa sobre cómo los activos fueron sustraídos del contrato.
«El contrato de escrow de Notional Finance puede haber sido explotado»
, afirmó PeckShield, manteniendo la incertidumbre sobre el estado del incidente.
Detalles del Incidente
Specter ha informado que el contrato de escrow de Notional Finance podría haber sido comprometido, resultando en la pérdida de $1.7 millones en Ethereum (0x6b175474e89094c44da98b954eedeac495271d0f) y USDC. El explotador ha intercambiado los fondos robados por 689.2 ETH y los ha depositado en… pic.twitter.com/Wd5Dc3MWtL.
Los investigadores identificaron dos direcciones de Ethereum supuestamente conectadas al movimiento de los activos. La primera dirección es 0xC954…De69, mientras que la segunda es 0xDaCC…Ce38. Estas direcciones han sido etiquetadas como direcciones de robo por Specter. Sin embargo, esta descripción sigue siendo una atribución de los investigadores y no un hallazgo confirmado por Notional Finance, las fuerzas del orden o un tribunal.
Implicaciones del Uso de Tornado Cash
Se sospecha que el atacante intercambió el DAI y USDC por aproximadamente 689.2 ETH, que luego fueron depositados en Tornado Cash, según Specter y PeckShield. Tornado Cash es un conjunto de contratos inteligentes de Ethereum diseñados para reducir la conexión visible entre depósitos y retiros posteriores. Su uso puede complicar el rastreo en blockchain, aunque depositar activos en el protocolo no prueba de manera independiente la propiedad o intención criminal.
La rápida conversión de stablecoins también puede limitar las oportunidades para que los emisores o plataformas centralizadas restrinjan los activos. Tanto DAI como USDC pueden ser rastreados públicamente antes de la conversión, mientras que los retiros posteriores de un mezclador se vuelven más difíciles de asociar con la dirección original. En una cobertura relacionada, crypto.news informó que una dirección vinculada al explotador del Drift Protocol movió $44 millones a través de Tornado Cash después de permanecer inactiva durante varios meses.
Falta de Confirmación y Reacción del Mercado
Notional Finance no había publicado un informe público del incidente ni confirmado la situación a través de su cuenta oficial al momento de la verificación. El proyecto tampoco había revelado si los contratos estaban en pausa, si los activos restantes estaban asegurados o si los usuarios necesitaban tomar medidas de protección. La falta de confirmación significa que la pérdida reportada de $1.7 millones debe considerarse preliminar. También es incierto si los activos afectados pertenecían directamente a los usuarios, al tesoro del protocolo o a otra parte que utilizaba el contrato de escrow.
No se puede atribuir ninguna reacción de mercado verificada al informe. Sin una evaluación oficial, vincular los movimientos de precios de los tokens o cambios en el valor depositado directamente al supuesto exploit sería prematuro. Los proyectos de DeFi comúnmente responden a exploits sospechosos pausando contratos vulnerables, contactando a emisores de stablecoins y exchanges, rastreando billeteras conectadas y ofreciendo acuerdos de devolución. Sin embargo, estas opciones pueden volverse más limitadas una vez que los activos ingresan a protocolos de privacidad.
Conclusiones y Futuras Investigaciones
Estos casos involucraron respuestas directas del proyecto que aún no están disponibles para Notional Finance. Mientras tanto, Notional Finance opera como un protocolo de préstamos basado en Ethereum, enfocado en préstamos a tasa fija y a plazo fijo. Su documentación explica que las monedas depositadas pueden respaldar obligaciones de préstamo denominadas en otras monedas. Esto hace que la contabilidad a nivel de contrato y los controles de colateral sean centrales para mantener posiciones solventes de los usuarios.
Sin embargo, los investigadores no han establecido si el incidente de escrow reportado afectó el sistema de préstamos principal de Notional, una integración separada o un contrato más antiguo. DAI y USDC han formado parte durante mucho tiempo de los mercados de préstamos soportados por Notional. Los materiales técnicos del protocolo describen pares de monedas que conectan esas stablecoins con sus equivalentes que generan intereses.
Por lo tanto, la pérdida reportada involucra activos utilizados dentro de la arquitectura de préstamos más amplia de Notional, pero la evidencia disponible no muestra que los préstamos abiertos, los saldos de colateral o las posiciones a plazo fijo se hayan visto afectados. Se necesita una identificación oficial del contrato antes de que la exposición pueda medirse con precisión. La próxima actualización confirmada probablemente necesitará establecer qué contrato estuvo involucrado, cómo se autorizaron las transacciones y si otros fondos siguen expuestos. Un análisis post-mortem también podría aclarar la propiedad de los activos perdidos. Los investigadores pueden continuar rastreando cualquier Ether retirado de Tornado Cash. Los exchanges y las empresas de análisis de blockchain podrían monitorear transacciones posteriores, pero los depósitos reportados en el mezclador dificultan la atribución y recuperación. Hasta que Notional publique una evaluación, la escala, causa y efecto sobre los usuarios permanecen sin resolver.
