区块链调查人员于9月4日报告称，基于以太坊的借贷协议Notional Finance可能遭遇了一起涉及托管合约的约170万美元攻击事件。根据Specter的研究，疑似损失包括约69,242枚DAI和166万枚USDC。相关资产据称是从与Notional Finance关联的一个托管合约中被提取的。
安全公司PeckShield引用了Specter的发现，并指出Notional Finance的托管合约“可能已被利用”。不过，截至最后核查时，Notional Finance尚未公开确认该事件。
资金被兑换为以太坊并转入Tornado Cash
疑似攻击者将DAI和USDC兑换为约689.2枚ETH，随后将以太坊存入Tornado Cash——一种可模糊存款与取款地址之间关联的隐私协议。快速兑换为ETH降低了稳定币发行方冻结资金的可能性，但在存入混币器之前，区块链追踪仍有可能进行。
调查人员标记的地址
Specter研究人员将以下两个以太坊地址标记为疑似与该资产转移有关的盗窃地址：
0xC954…De69
0xDaCC…Ce38
这些标记属于调查人员的归因，而非Notional Finance、执法机构或法院的确认结果。
尚无官方技术细节或用户指南
截至发稿时，Notional Finance尚未发布事件报告、确认被利用情况、说明合约是否已暂停，或提示用户是否需要采取保护措施。目前也不清楚受影响资金属于用户、协议金库，还是使用该托管合约的第三方。技术原因——无论是智能合约漏洞、凭据泄露，还是权限配置不当——仍未得到确认。
背景及此前DeFi事件
DeFi项目通常会对疑似攻击做出响应，例如暂停易受攻击的合约、联系稳定币发行方和交易所、追踪钱包，以及协商返还协议。一旦资产进入Tornado Cash等隐私协议，追回将变得更加困难。
在相关案例中，Term Labs在遭遇850万美元治理攻击后收回了固定利率仓位，Stake DAO则在一次未授权铸造事件后确保了以太坊抵押品安全。这些项目都做出了直接回应，而Notional Finance目前尚未提供此类回应。
Notional Finance运营着一个专注于固定利率、固定期限借贷的借贷协议，DAI和USDC均在其支持的市场中。研究人员尚未确定所报告的托管合约事件是否影响了该协议的主要借贷系统、某个单独集成，还是一个较旧的合约。需要官方对合约进行确认，才能确定实际影响范围。
后续进展
下一步的确认更新很可能会明确所涉及的具体合约、交易是如何被授权的，以及其他资金是否仍然面临风险。事后分析或有助于厘清丢失资产的所有权。调查人员可能会继续监控从Tornado Cash提取的以太坊，但所报告的混币器存款使归因和追回面临挑战。在Notional Finance发布评估之前，事件规模、原因及对用户的影响仍悬而未决。