Incident de Notional Finance
Notional Finance pourrait avoir subi un exploit de 1,7 million de dollars impliquant un contrat d’entiercement, selon des rapports d’enquêteurs blockchain publiés le 4 septembre. Les pertes signalées incluent environ 69 242 $ en DAI et 1,66 million $ en USDC. La société de sécurité PeckShield a cité des résultats fournis par le groupe d’enquête blockchain Specter. Aucun des rapports n’a fourni d’explication technique complète sur la manière dont les actifs ont quitté le contrat.
« Le contrat d’entiercement de Notional Finance pourrait avoir été exploité, »
a déclaré PeckShield, laissant planer l’incertitude quant à l’état de l’incident. #PeckShieldAlert
Détails de l’Exploitation
Specter a rapporté que le contrat d’entiercement de Notional Finance pourrait avoir été exploité, entraînant une perte de 1,7 million de dollars en Ethereum (ETH) : 0x6b175474e89094c44da98b954eedeac495271d0f et en USDC. L’exploitant a échangé les fonds volés contre 689,2 ETH et les a déposés dans…
Les chercheurs ont identifié deux adresses Ethereum prétendument liées au mouvement des actifs. La première adresse est 0xC954…De69, tandis que la seconde est 0xDaCC…Ce38. Ces adresses ont été étiquetées comme des adresses de vol par Specter. Cette description reste une attribution d’enquêteur plutôt qu’une constatation confirmée par Notional Finance, les forces de l’ordre ou un tribunal. Les rapports disponibles n’identifient pas la fonction d’entiercement précise impliquée. Ils ne déterminent pas non plus si l’événement résulte d’une vulnérabilité de contrat intelligent, de l’utilisation de données d’identification compromises, de permissions défectueuses ou d’une autre cause.
Utilisation de Tornado Cash
L’attaquant suspect aurait échangé le DAI et l’USDC contre environ 689,2 ETH. L’Ether a ensuite été déposé dans Tornado Cash, selon Specter et PeckShield. Tornado Cash est un ensemble de contrats intelligents Ethereum conçus pour réduire la connexion visible entre les dépôts et les retraits ultérieurs. Son utilisation peut compliquer le traçage sur la blockchain, bien que le dépôt d’actifs dans le protocole ne prouve pas indépendamment la propriété criminelle ou l’intention. La conversion rapide des stablecoins peut également réduire les opportunités pour les émetteurs ou les plateformes centralisées de restreindre les actifs.
Tant le DAI que l’USDC peuvent être suivis publiquement avant la conversion, tandis que les retraits ultérieurs d’un mélangeur deviennent plus difficiles à associer à l’adresse d’origine.
Réactions et Conséquences
Dans une couverture connexe, crypto.news a rapporté qu’une adresse liée à l’exploitant du Drift Protocol a déplacé 44 millions de dollars via Tornado Cash après être restée inactive pendant plusieurs mois. Notional Finance n’avait pas publié de rapport d’incident public ou de confirmation via son compte officiel lors de la vérification. Le projet n’avait également pas divulgué si les contrats avaient été suspendus, si les actifs restants étaient sécurisés ou si les utilisateurs devaient prendre des mesures de protection.
L’absence de confirmation signifie que la perte signalée de 1,7 million de dollars doit rester décrite comme préliminaire. Il n’est également pas clair si les actifs affectés appartenaient directement aux utilisateurs, au trésor du protocole ou à une autre partie utilisant le contrat d’entiercement. Aucune réaction de marché vérifiée ne peut être attribuée au rapport.
Fonctionnement de Notional Finance
Notional Finance fonctionne comme un protocole de prêt basé sur Ethereum, axé sur l’emprunt à taux fixe et à terme fixe. Sa documentation explique que les devises déposées peuvent soutenir des obligations d’emprunt libellées dans d’autres devises. Cela rend la comptabilité au niveau des contrats et le contrôle des garanties centraux pour maintenir des positions d’utilisateur solvables.
Cependant, les chercheurs n’ont pas établi si l’incident d’entiercement signalé a affecté le système de prêt principal de Notional, une intégration distincte ou un ancien contrat. Le DAI et l’USDC ont longtemps fait partie des marchés de prêt soutenus par Notional. Les documents techniques du protocole décrivent des paires de devises reliant ces stablecoins à leurs équivalents générant des intérêts.
La perte signalée implique donc des actifs utilisés dans l’architecture de prêt plus large de Notional, mais les preuves disponibles ne montrent pas que des prêts ouverts, des soldes de garanties ou des positions à terme fixe ont été affectés. Une identification de contrat officielle est nécessaire avant que l’exposition puisse être mesurée avec précision.
Conclusion
La prochaine mise à jour confirmée devra probablement établir quel contrat était impliqué, comment les transactions ont été autorisées et si d’autres fonds restent exposés. Un post-mortem pourrait également clarifier la propriété des actifs perdus. Les enquêteurs peuvent continuer à suivre tout Ether retiré de Tornado Cash. Les échanges et les entreprises d’analyse blockchain pourraient surveiller les transactions ultérieures, mais les dépôts de mélangeur signalés compliquent l’attribution et la récupération. Jusqu’à ce que Notional publie une évaluation, l’échelle, la cause et l’effet sur les utilisateurs restent non résolus.
