Notional Finance 疑似遭遇 170 万美元漏洞攻击

区块链文库报道：

Notional Finance 疑似遭遇 170 万美元黑客攻击，资金流向 Tornado Cash

区块链调查机构于 9 月 4 日报告称，去中心化金融协议 Notional Finance 可能在一项涉及托管合约的黑客攻击中遭受了约 170 万美元的损失。据披露，受损资产包括约 69,242 美元的 DAI 和 166 万美元的 USDC。

资金流失详情与初步调查

研究人员指出，总计 170 万美元的 DAI 和 USDC 从与 Notional 相关的托管合约中流出。根据 Specter 研究团队的数据，具体损失构成为 69,242 美元的 DAI 和 1,658,423 美元的 USDC。

安全公司 PeckShield 引用了 Specter 的发现，但在最后核查时，Notional Finance 尚未公开确认该事件。此次攻击的技术原因、受影响的用户范围以及资产追回的前景目前均未得到官方证实。

Specter 的报告指出，Notional Finance 的托管合约可能遭到利用，导致价值约 170 万美元的以太坊生态稳定币（DAI 和 USDC）丢失。嫌疑人将被盗资金兑换为 689.2 ETH，并随后存入混币器 Tornado Cash。PeckShield 在警报中表示：“Notional Finance 托管合约可能已被利用”，同时保留了对事件状态的不确定性声明。

可疑地址与攻击手法分析

Specter 识别出两个涉嫌参与资产转移的以太坊地址：第一个地址为 0xC954…De69，第二个地址为 0xDaCC…Ce38。Specter 将这些地址标记为“盗窃地址”，但这一描述仅为调查机构的推断，并未得到 Notional Finance、执法部门或法院的确认。

目前的报告并未明确指出涉及的具体托管功能模块，也未确定事件是由智能合约漏洞、凭证泄露、权限配置错误还是其他原因引起。然而，据信嫌疑人在交易后将 DAI 和 USDC 兑换为约 689.2 ETH，并将这些以太币存入 Tornado Cash。

Tornado Cash 是一套旨在减少存款与后续取款之间可见关联性的以太坊智能合约集合。虽然使用此类服务会使区块链追踪复杂化，但这并不独立证明犯罪所有权或意图。稳定币的快速转换也可能降低发行方或中心化平台限制资产的机会。尽管 DAI 和 USDC 在转换前可被公开追踪，但从混币器进行的后续提款则更难与原地址关联。

缺乏官方回应与技术细节

截至核查时间，Notional Finance 尚未通过其官方渠道发布事故报告或确认信息。该项目也未披露是否暂停了相关合约、剩余资产是否已获保障，或用户是否需要采取保护措施。由于缺乏官方确认，报道中的 170 万美元损失应被视为初步数据。

此外，尚不清楚受损资产是直接属于用户、协议国库，还是使用该托管合约的其他各方。在没有官方评估的情况下，将代币价格波动或直接归因于此次疑似攻击导致的存款价值变化还为时过早。

行业背景与过往案例

去中心化金融项目通常在怀疑遭到攻击时采取暂停易受攻击的合约、联系稳定币发行方和交易所、追踪关联钱包以及提供返还协议等措施。然而，一旦资产进入隐私协议，这些选项可能会受到更多限制。

尽管如此，一些项目在攻击后仍成功恢复了头寸或保护了未受影响的产品。例如，Term Labs 在遭受 850 万美元治理攻击后恢复了其受影响的固定利率头寸；Stake DAO 也在未经授权的铸造事件后保障了其以太坊支持并关闭了桥接通道。这些案例均涉及项目的直接响应措施，而目前 Notional Finance 尚未出现类似情况。

关于 Notional Finance 及其架构

Notional Finance 是一个基于以太坊的借贷协议，专注于固定利率、固定期限的借贷业务。其文档解释称，存入的货币可以支持以其他货币计价的借贷义务。因此，合约级别的会计和抵押品控制对于维持用户头寸的偿付能力至关重要。然而，研究人员尚未确定此次报告的托管事件是否影响了 Notional 的主要借贷系统、单独的集成模块还是较旧的合约。

DAI 和 USDC 长期以来一直是 Notional 支持的借贷市场的一部分。协议的 technical materials 描述了连接这些稳定币与其生息等价物的货币对。因此，报告的损失涉及 Notional 更广泛借贷架构中使用的资产，但现有证据并未显示开放贷款、抵押品余额或固定期限头寸受到影响。需要官方的合约标识才能准确衡量风险敞口。

后续发展展望

接下来的确认更新可能需要明确涉及哪个合约、交易如何获得授权，以及其他资金是否仍面临风险。事后分析也有助于澄清丢失资产的归属权。调查人员可能会继续追踪从 Tornado Cash 提取的任何以太币。交易所和区块链分析公司可能会监控后续交易，但报告的混币器存款使得归因和追回变得更加困难。在 Notional 发布评估之前，事件的规模、原因以及对用户的影响仍未解决。