En angriper tappet omtrent $ 1,73 millioner fra Notional Finance sin tidligere escrow-kontrakt tidlig fredag, ved å utnytte en kodefeil som gjorde at en enorm fabrikkert gjeld ble registrert som null.
De stjålne DAI og USDC ble til rundt 689 ether (ETH). Midlene gikk deretter gjennom Tornado Cash, en tjeneste som bryter sporingskjeden mellom lommebøker. Notional har ikke uttalt seg offentlig.
Slik fungerte Notional Finance-angrepet
Notional Finance er en protokoll for fastrentelån på Ethereum. Den første versjonen registrerte fremtidige kontantforpliktelser som tokens kalt fCash. Systemet kontrollerte at låntakere hadde sikkerhet før de fikk legge til gjeld.
Den kontrollen konverterte gjelden til ether-betegnelse gjennom en rå uint128-konvertering. To mintinger ble summert til nøyaktig to opphøyd i 128. Dette er den eneste verdien som konverteringen flater ut til null, fant QuillAudits.
En kontrollert konvertering ville ha avvist tallet i stedet for stille å fjerne sifrene. Notional brukte den sikrere metoden andre steder i samme fil, ifølge rapporten.
Kontoen ble deretter lest som gjeldfri. Etherscan-data viser at oppsettet ble gjort 23:58 UTC torsdag og uttaket tre minutter senere.
Den andre transaksjonen flyttet 69257 DAI og 1658524 USDC ut av escrow. Angriperen ga også blokkbyggeren Titan 0,07 ETH i tips for å rute handelen privat.
Sikkerhetsselskapet PeckShield videreformidlet en advarsel fra Specter, en on-chain-overvåker. Escrow-kontoen har nå omtrent $ 60 600 i gjenværende tokens.
Inaktive V1-kontrakter hadde fortsatt reelle midler
Notional stengte sin tredje versjon etter at Balancer-angrepet i november 2025 spredte seg til deres safer. V1-kontraktene forble aktive og finansierte, og ingen ryddet dem.
Uavhengig reviderte protokoller står fortsatt for de fleste tapene fra kryptohack, så en gammel gjennomgang ga ingen beskyttelse her. En lignende hendelse skjedde i juni, da en angriper tømte eldre Solana-pooler på Raydium.
Notionals NOTE-token handles rundt $ 0,0065, opp 3,5 % siste 24 timer, med en markedsverdi nær $ 400 700.
Notional har ikke gitt noen uttalelse, tapstall eller etteranalyse ved publiseringstidspunktet. Om pengene som ble stjålet tilhørte brukere, selskapets egen kasse eller en tredjepart er fortsatt uavklart.
