We wczesny piątek napastnik wyprowadził z przestarzałego kontraktu escrow Notional Finance około 1,73 mln dolarów, wykorzystując błąd w kodzie, przez który ogromny, fikcyjny dług był rejestrowany jako zero.
Skradzione DAI i USDC wymieniono na około 689 etherów (ETH). Następnie środki przeszły przez Tornado Cash — usługę, która zaciera ślad między portfelami. Notional nie wydał żadnego publicznego oświadczenia.
Jak doszło do exploita Notional Finance
Notional Finance to protokół pożyczkowy o stałym oprocentowaniu działający na Ethereum. Jego pierwsza wersja zapisywała przyszłe zobowiązania pieniężne w postaci tokenów zwanych fCash. Zanim system pozwalał pożyczkobiorcom zaciągnąć dług, sprawdzał, czy mają zabezpieczenie.
W ramach tej kontroli dług przeliczano na ether za pomocą surowej konwersji uint128. Suma dwóch emisji tokenów wyniosła dokładnie dwa do potęgi 128. Jak ustaliła firma QuillAudits, konwersja sprowadza tę jedyną wartość do zera.
Konwersja z kontrolą zakresu odrzuciłaby tę wartość, zamiast po cichu obcinać jej cyfry. Jak wynika z raportu, w innym miejscu tego samego pliku Notional użył bezpieczniejszej metody.
Konto zaczęło więc wyglądać na wolne od długu. Zapis w Etherscan pokazuje, że przygotowanie transakcji zakończyło się w czwartek o 23:58 UTC, a wypłata nastąpiła trzy minuty później.
Druga transakcja wyprowadziła z escrow 69 257 DAI i 1 658 524 USDC. Napastnik dopłacił też 0,07 ETH twórcy bloku Titan, aby przeprowadzić transakcję prywatnie.
Firma zajmująca się bezpieczeństwem PeckShield przekazała ostrzeżenie od monitora on-chain Specter. W escrow pozostały teraz tokeny o wartości około 60 600 dolarów.
Nieaktywne kontrakty V1 wciąż przechowywały prawdziwe środki
Notional zakończył działanie swojej trzeciej wersji po tym, jak skutki exploita Balancera z listopada 2025 r. rozlały się na jego skarbce. Kontrakty V1 pozostały aktywne i zasilone środkami, ale nikt ich nie opróżnił.
Protokoły poddane niezależnym audytom nadal odpowiadają za większość strat poniesionych w wyniku ataków hakerskich na rynku krypto, więc wcześniejszy audyt nie zapewnił tu ochrony. W czerwcu doszło do bardzo podobnego przypadku: napastnik opróżnił starsze pule Solany w Raydium.
Token NOTE firmy Notional jest notowany w okolicach 0,0065 USD, po wzroście o 3,5% w ciągu 24 godzin, a jego wartość rynkowa wynosi około 400 700 USD.
W chwili publikacji Notional nie wydał żadnego oświadczenia, nie podał kwoty strat ani nie opublikował analizy incydentu. Nie potwierdzono, czy wyprowadzone środki należały do użytkowników, skarbca czy strony trzeciej.
Źródło: BeInCrypto
