Notional Finance: 1,73 mln USD skradzione z kontraktu V1

Atak na protokół pożyczkowy Notional Finance doprowadził do wyprowadzenia około 1,73 mln USD z kontraktu escrow V1. Skradzione DAI i USDC zostały wymienione na około 689,2 ETH, a następnie przesłane do usługi mieszającej Tornado Cash. Notional nie opublikował oficjalnego oświadczenia.

Przeprowadzenie exploita wykorzystało błąd w konwersji typu uint128 stosowanym w mechanizmie weryfikacji zabezpieczeń kontraktu V1. Dwukrotne wybicie (mint) tokenów wygenerowało dokładną wartość 2^128, która w tej konwersji została zarejestrowana jako zero. Analiza QuillAudits wskazała, że to jedyny przypadek, gdy taka konwersja zwraca zero. W innym fragmencie tego samego pliku kodu zastosowano bezpieczniejszą metodę konwersji.

Dane z rejestru transakcji pokazują, że przygotowanie ataku miało miejsce o 23:58 UTC w czwartek, a wypłata nastąpiła trzy minuty później. Druga transakcja przeniosła z escrow 69 257 DAI oraz 1 658 524 USDC. Atakujący wymienił te stablecoiny na około 689,2 ETH. Aby zrealizować transakcję prywatnie, sprawca przesłał 0,07 ETH twórcy bloków Titan. Po operacji w kontrakcie escrow pozostało około 60 600 USD w niewypłaconych tokenach.

Firma bezpieczeństwa PeckShield opublikowała alert, powołując się na raport monitora on-chain Specter. Notional nie udostępnił danych o tym, czy skradzione środki należały do użytkowników, do skarbca protokołu, czy do podmiotu trzeciego.

Notional wdrożył trzecią wersję protokołu po ataku na skarbce powiązane z Balancerem w listopadzie 2025, jednak kontrakty V1 pozostały aktywne i nadal miały finansowanie. Pozostawienie starszych, finansowanych kontraktów umożliwiło wykorzystanie znanej luki. Wcześniej podobne ataki doprowadziły do opróżnienia nieaktywnych pul na innych sieciach.

Na rynku token projektu NOTE kurs wynosi około 0,0065 USD, co oznacza wzrost w ciągu 24 godzin o około 3,5 proc., a kapitalizacja szacowana jest na około 400 700 USD.