Un contrat d'entrepôt de Notional Finance semble avoir été exploité pour environ 1,7 million de dollars, les stablecoins volés ayant été échangés contre de l'Ether et déposés dans Tornado Cash quelques heures après le drain.

Les actifs concernés comprenaient environ 69 242 DAI et 1,658 million de USDC, portant la perte totale à près de 1,73 million de dollars. Deux adresses liées au vol ont été identifiées comme 0xC954...De69 et 0xDaCC...Ce38.

Les stablecoins convertis en 689 ETH

Les DAI et USDC volés ont été consolidés et échangés contre environ 689 ETH avant que les fonds ne soient transférés vers Tornado Cash.

L'architecture d'entrepôt de Notional gère les fonctions centrales du protocole, notamment les dépôts, les retraits, les soldes de comptes, les garanties utilisées pour le trading, le règlement et les liquidations. Comme un tel contrat se situe au cœur de la garde des actifs des utilisateurs plutôt qu'en périphérie du protocole, une compromission de ses chemins d'autorisation peut exposer les fonds de l'ensemble de ces fonctions simultanément. Les preuves onchain identifient un contrat d'entrepôt comme la source des actifs drainés, mais une cause technique fondamentale n'a pas encore été établie, laissant indéterminée la fonction ou le chemin d'autorisation ayant permis le retrait.

La traçabilité des transactions pointe vers des retraits non autorisés depuis le contrat d'entrepôt de Notional, bien que le mécanisme précis de défaillance demeure indéterminé. Crypto Adventure a contacté Notional Finance pour confirmer le contrat concerné, la cause racine et toute exposition potentielle des utilisateurs, mais n'avait reçu aucune réponse au moment de la publication. Tant que Notional ne publie pas d'analyse post-mortem, les questions ouvertes à surveiller sont de savoir si la faille était spécifique à la logique du contrat d'entrepôt ou à une clé compromise ou un privilège d'opérateur, et si des soldes d'utilisateurs au-delà des garanties en entrepôt ont été affectés.

L'ETH volé acheminé vers Tornado Cash

Après avoir converti la valeur hors du DAI et de l'USDC, l'attaquant a déposé l'ETH résultant dans Tornado Cash. Les dépôts via mixer rompent le lien public direct entre le portefeuille d'origine et les adresses de retrait ultérieures, ce qui signifie que tout traçage supplémentaire dépend d'une activité onchain additionnelle ou d'interactions avec des services identifiables. La rapidité de la séquence d'échange et de mixage — achevée en quelques heures — correspond à un modus operandi désormais classique chez les attaquants DeFi, laissant les enquêteurs dépendre du regroupement côté retraits et des points de contact KYC des plateformes d'échange pour trouver des pistes de récupération.

Des schémas de blanchiment similaires ont suivi d'autres vols DeFi récents. L'attaquant derrière l'exploit Hinkal a converti environ 797 000 USDC en ETH, puis a acheminé 410 ETH via Tornado Cash et une autre portion en Bitcoin via THORChain.

Ces mouvements surviennent également quelques jours après le bien plus important exploit Tectonic sur Cronos, où des emprunts non autorisés ont entraîné une perte estimée à 74 millions de dollars et où l'ETH lié à l'attaquant a commencé à entrer dans Tornado Cash. Des mouvements inter-chaînes sont également apparus dans d'autres vols récents : le Bitcoin lié à l'attaque Coldcard Wave 3 a commencé à bouger pour la première fois cette semaine, avec environ 4,2 BTC convertis en environ 135 ETH via THORChain, tandis que la majeure partie du Bitcoin volé est restée dans les adresses d'origine de l'attaquant. Pris ensemble, ce groupe d'incidents souligne que les contrats de niveau infrastructure — composants d'entrepôt, d'oracle et de prêt alike — sont restés la surface d'attaque dominante ces derniers mois.

Notional avait précédemment arrêté V3 après les pertes Balancer

Notional a subi une perturbation majeure distincte en novembre 2025, lorsque l'exploit Balancer V2 a créé de la dette irrécouvrable dans les coffres à effet de levier sur Ethereum et Arbitrum. Les dégâts ont forcé un arrêt complet de Notional V3, les utilisateurs des coffres à effet de levier concernés perdant leurs positions et les prêteurs d'ETH subissant des coupes (haircuts). Cet incident provenait d'une dépendance à un protocole tiers, tandis que le drain actuel provient du propre contrat d'entrepôt de Notional. Notional a ensuite lancé son produit Exponent en janvier 2026 en tant que nouvelle architecture de rendement à effet de levier, ce qui en fait le deuxième revers de sécurité majeur pour le protocole en moins d'un an.

Au matin du 4 septembre, les adresses liées au dernier vol avaient converti les stablecoins drainés en environ 689 ETH et déposé les fonds dans Tornado Cash.

L'article Notional Finance Escrow Contract Loses $1.7M as Funds Move to Tornado Cash est paru en premier sur Crypto Adventure.