Notional Finance bị tấn công với thiệt hại 1,7 triệu USD do lỗi tràn số nguyên

Một kẻ tấn công đã rút khoảng 1,73 triệu đô la khỏi hợp đồng ký quỹ cũ của Notional Finance vào sáng sớm thứ Sáu, lợi dụng một lỗi trong mã khiến một khoản nợ giả mạo khổng lồ được ghi nhận là bằng 0. DAI và USDC bị đánh cắp đã được chuyển đổi thành khoảng 689 ether (ETH). Sau đó, các khoản tiền này đã được xử lý qua Tornado Cash, một dịch vụ giúp xóa dấu vết giữa các ví. Notional vẫn chưa đưa ra bất kỳ tuyên bố công khai nào.Cách Thức Khai Thác Notional Finance Đã Hoạt Động Như Thế NàoNotional Finance là một giao thức cho vay lãi suất cố định trên Ethereum. Phiên bản đầu tiên của nền tảng này ghi nhận các nghĩa vụ tiền mặt trong tương lai dưới dạng token gọi là fCash. Hệ thống sẽ kiểm tra tài sản thế chấp của người vay trước khi cho phép họ thêm nợ. Việc kiểm tra này chuyển đổi khoản nợ sang đơn vị ether thông qua chuyển đổi uint128 thô. Hai lần phát hành token cộng lại đúng bằng 2 lũy thừa 128. Đó là giá trị duy nhất mà quá trình chuyển đổi này làm cho số dư bằng 0, theo ghi nhận của QuillAudits. Một phép chuyển đổi được kiểm tra sẽ từ chối giá trị này thay vì âm thầm loại bỏ các chữ số. Notional đã sử dụng phương pháp an toàn hơn ở các đoạn mã khác trong cùng một tập tin, theo bài phân tích. Tài khoản sau đó được ghi nhận là không còn nợ. Dữ liệu trên Etherscan cho thấy sự việc bắt đầu lúc 23:58 UTC thứ Năm và giao dịch rút tiền diễn ra ba phút sau đó. Giao dịch thứ hai này đã chuyển 69.257 DAI và 1.658.524 USDC ra khỏi hợp đồng ký quỹ. Kẻ tấn công cũng trả phí “bồi dưỡng” cho block builder Titan là 0,07 ETH để giao dịch được xử lý riêng tư. Công ty bảo mật PeckShield đã chuyển tiếp cảnh báo của hệ thống giám sát on-chain Specter. Hợp đồng ký quỹ hiện chỉ còn giữ khoảng 60.600 đô la dưới dạng token còn lại.Các Hợp Đồng V1 Ngủ Đông Vẫn Đang Nắm Giữ Tiền ThậtNotional đã đóng phiên bản thứ ba sau khi vụ tấn công Balancer vào tháng 11 năm 2025 lan sang các vault của nền tảng này. Các hợp đồng V1 vẫn hoạt động và có tiền, nhưng không ai rà soát chúng. Các giao thức đã được kiểm toán độc lập vẫn chịu phần lớn các khoản tổn thất trong các vụ hack crypto, nên một bản kiểm toán cũ cũng không giúp ích ở đây. Tháng Sáu cũng đã ghi nhận một trường hợp tương tự, khi một kẻ tấn công rút tiền khỏi các pool Solana cũ tại Raydium. Token NOTE của Notional hiện được giao dịch gần 0,0065 đô la, tăng 3,5% trong 24 giờ, với vốn hóa thị trường gần 400.700 đô la. Hiệu suất giá của Notional Finance (NOTE). Tính đến thời điểm đăng bài, Notional vẫn chưa có bất kỳ tuyên bố nào về vụ việc hay số tiền thiệt hại, cũng như báo cáo phân tích sâu nào. Việc tiền bị rút thuộc về người dùng, quỹ dự trữ, hay một bên thứ ba vẫn chưa được xác nhận.