En hacker tømte cirka 1,73 millioner dollars fra Notional Finances gamle escrow-kontrakt tidligt fredag ved at udnytte en kodefejl, der fik en stor opdigtet gæld til at registreres som nul.
De stjålne DAI og USDC blev til omkring 689 ether (ETH). Pengene røg derefter gennem Tornado Cash, en tjeneste som skjuler forbindelsen mellem wallets. Notional har ikke udtalt sig offentligt.
Sådan blev Notional Finance udnyttet
Notional Finance er en protokol til lån med fast rente på Ethereum. Første version registrerede fremtidige betalingsforpligtelser som tokens kaldet fCash. Systemet tjekkede, at låntagere havde sikkerhed, før de kunne få gæld.
Den kontrol omregnede gæld til ether via en rå uint128-konvertering. To udstedelser blev lagt sammen til præcis to opløftet i 128. Det er den ene værdi, som konverteringen fortolker som nul, fandt QuillAudits.
En sikret opgørelse ville have afvist tallet i stedet for bare at slette dets cifre. Ifølge gennemgangen brugte Notional den sikrere metode andre steder i samme fil.
Kontoen stod så som gældfri. Etherscan viser, at opsætningen blev foretaget kl. 23:58 UTC torsdag og udbetalingen tre minutter senere.
Den anden transaktion flyttede 69.257 DAI og 1.658.524 USDC ud af escrow. Hackeren gav også block-builderen Titan et tip på 0,07 ETH for at sende handelen privat.
Sikkerhedsfirmaet PeckShield viderebragte en advarsel fra on-chain-overvågeren Specter. Escrowen rummer nu cirka 60.600 dollars i resterende tokens.
Gamle V1-kontrakter rummede stadig rigtige midler
Notional lukkede sin tredje version ned, efter at Balancer-udnyttelsen i november 2025 bredte sig til deres værdier. V1-kontrakterne forblev aktive og finansierede, uden nogen tømte dem.
Uafhængigt reviderede protokoller står stadig for størstedelen af tab ved krypto-hacks, så et gammelt sikkerhedstjek hjalp ikke her. I juni oplevede vi lignende, da en hacker tømte gamle Solana-pools på Raydium.
Notionals NOTE-token handles omkring $0,0065, en stigning på 3,5% det seneste døgn, med en markedsværdi tæt på $400.700.
Notional har ikke udsendt nogen udtalelse, opgørelse over tab, eller analyse ved udgivelsetidspunktet. Om de stjålne penge tilhørte brugere, kassen eller en tredjepart er stadig uafklaret.
