Notional Finance zostało dotknięte exploitem o wartości 1,7 miliona dolarów z powodu błędu przepełnienia liczby całkowitej

Atakujący wyprowadził około 1,73 miliona dolarów z przestarzałego kontraktu escrow Notional Finance wczesnym rankiem w piątek, wykorzystując błąd w kodzie, który sprawił, że ogromny sfabrykowany dług został zarejestrowany jako zero. Skradzione DAI i USDC zostały zamienione na około 689 etherów (ETH). Środki następnie przeszły przez Tornado Cash, usługę umożliwiającą ukrycie powiązań pomiędzy portfelami. Notional nie wydał żadnego publicznego oświadczenia.

Jak doszło do exploitu Notional Finance

Notional Finance to protokół pożyczkowy o stałym oprocentowaniu na Ethereum. Jego pierwsza wersja rejestrowała przyszłe zobowiązania gotówkowe jako tokeny o nazwie fCash. System sprawdzał, czy pożyczkobiorca posiada zabezpieczenie, zanim pozwolił mu dodać dług. To sprawdzanie przeliczało dług na etery przez surową konwersję uint128. Dwa wybijania tokenów sumowały się dokładnie do dwóch do potęgi 128. To jedyna wartość, przy której konwersja daje zero, jak wykazało QuillAudits. Sprawdzone przeliczenie odrzuciłoby tę wartość zamiast po cichu usuwać jej cyfry. Notional stosował bezpieczniejszą metodę w innym miejscu tego samego pliku, wynika z podsumowania. Konto wyglądało jak pozbawione długu. Zapis na Etherscan pokazuje, że przygotowania miały miejsce o 23:58 UTC w czwartek, a wypłata trzy minuty później. Ta druga transakcja przeniosła 69 257 DAI i 1 658 524 USDC z escrow. Atakujący przekazał również 0,07 ETH budowniczemu bloku Titan za prywatne przeprowadzenie transakcji. Firma bezpieczeństwa PeckShield przekazała ostrzeżenie od monitorującego on-chain Specter. W escrow pozostało obecnie około 60 600 dolarów w tokenach.

Uśpione kontrakty V1 nadal przechowywały prawdziwe środki

Notional zamknął swoją trzecią wersję po tym, jak listopadowy exploit Balancer z 2025 roku doprowadził do utraty środków w jego skarbcach. Kontrakty V1 pozostały aktywne i nadal posiadały środki; nikt ich nie oczyścił. Protokóły niezależnie audytowane nadal odpowiadają za większość strat w hackach kryptowalutowych, więc dawna kontrola nie zapewniła tutaj bezpieczeństwa. W czerwcu doszło do bardzo podobnej sytuacji, gdy atakujący wyczerpał przestarzałe pule Solana na Raydium. Token NOTE Notional handluje blisko 0,0065 dolara, co oznacza wzrost o 3,5% w ciągu 24 godzin, przy kapitalizacji rynkowej około 400 700 dolarów. Wyniki cenowe Notional Finance (NOTE). W chwili publikacji Notional nie wydał żadnego oświadczenia, podanej sumy strat ani analizy powłamaniowej. Niepotwierdzone jest nadal, czy wyprowadzone środki należały do użytkowników, skarbca Notional, czy osoby trzeciej.