Notional Finance подверглась эксплойту на $1,7 миллиона из-за ошибки переполнения целого числа

Злоумышленник вывел примерно 1,73 миллиона долларов из старого эскроу-контракта Notional Finance ранним утром в пятницу, воспользовавшись ошибкой в коде, из-за которой огромный искусственно созданный долг регистрировался как нулевой. Похищенные DAI и USDC были конвертированы примерно в 689 эфириума (ETH). Затем средства были проведены через Tornado Cash — сервис, разрывающий связь между кошельками. Notional публично не сделал никаких заявлений.

Как произошла атака на Notional Finance

Notional Finance — это протокол кредитования с фиксированной процентной ставкой на Ethereum. Его первая версия регистрировала будущие денежные обязательства как токены под названием fCash. Система проверяла заемщиков на наличие обеспечения перед тем, как разрешить им взять долг. Эта проверка конвертировала долг в эквивалент ETH посредством прямого преобразования в raw uint128. Два выпуска токенов в сумме составляли ровно два в степени 128. Именно это единственное значение при преобразовании сводится к нулю, как обнаружила QuillAudits. Проверяемое преобразование отвергло бы это число, вместо того чтобы тихо обнулить его. Согласно отчёту, Notional использовал более безопасный метод преобразования в другом месте этого же файла. Счет был показан как не имеющий долгов. Данные Etherscan показывают, что операция была инициирована в 23:58 UTC в четверг, а вывод средств — три минуты спустя. В ходе второй транзакции из эскроу были выведены 69 257 DAI и 1 658 524 USDC. Злоумышленник также выплатил блок-билдеру Titan 0,07 ETH для приватного проведения сделки. Компания по безопасности PeckShield передала предупреждение от on-chain мониторинга Specter. На данный момент на эскроу-аккаунте осталось токенов примерно на 60 600 долларов.

Неиспользуемые V1-контракты все ещё содержали реальные средства

Notional завершил работу своей третьей версии после того, как ноябрьский взлом Balancer в 2025 году привел к потерям средств в его хранилищах. Контракты V1 оставались активными и обеспеченными средствами, но никто их не очистил. Несмотря на то, что протоколы проходят независимый аудит, именно они чаще всего становятся источником крупнейших потерь в результате взломов, так что проведённый ранее аудит здесь не помог. В июне произошёл схожий инцидент, когда атакующий вывел средства из устаревших пулов Solana на Raydium. Токен Notional — NOTE торгуется около 0,0065 доллара США, что на 3,5% выше за 24 часа, с рыночной капитализацией около 400 700 долларов. Динамика цены Notional Finance (NOTE). На момент публикации Notional не опубликовал ни заявление, ни сумму потерь, ни анализ инцидента. Принадлежали ли украденные средства пользователям, казначейству или третьей стороне, до сих пор не подтверждено.