Notional Finance touchée par une faille de 1,7 million de dollars suite à un bug de dépassement d'entier

Un attaquant a vidé environ 1,73 million de dollars du contrat d'entiercement historique de Notional Finance tôt vendredi, exploitant une faille de codage qui a permis d'enregistrer une énorme dette fabriquée comme nulle. Les DAI et USDC volés ont été convertis en environ 689 ether (ETH). Les fonds sont ensuite passés par Tornado Cash, un service qui brouille la traçabilité entre portefeuilles. Notional n’a rien déclaré publiquement.Comment l’exploitation de Notional Finance a fonctionnéNotional Finance est un protocole de prêt à taux fixe sur Ethereum. Sa première version enregistrait les obligations de paiement futures sous forme de jetons appelés fCash. Le système analysait les emprunteurs pour la garantie avant de leur permettre d'ajouter de la dette. Cette analyse convertissait la dette en termes d’ether par une conversion brute en uint128. Deux émissions ont abouti exactement à deux puissance 128. C’est la seule valeur pour laquelle la conversion s’annule à zéro, selon QuillAudits. Une conversion vérifiée aurait rejeté cette valeur au lieu de la supprimer discrètement. Notional utilisait l’approche la plus sûre ailleurs dans le même fichier, d’après le rapport. Le compte apparaissait alors comme sans dette. Les enregistrements sur Etherscan montrent que l’opération a été mise en place à 23h58 UTC jeudi, et le retrait trois minutes plus tard. Cette deuxième transaction a déplacé 69 257 DAI et 1 658 524 USDC hors de l’entiercement. L’attaquant a également donné un pourboire de 0,07 ETH au constructeur de blocs Titan pour exécuter la transaction en privé. La société de sécurité PeckShield a relayé un avertissement du surveillant on-chain Specter. L’entiercement détient désormais environ 60 600 dollars en jetons restants.Des contrats V1 inactifs détenaient encore des fonds réelsNotional a mis fin à sa troisième version après que l’attaque Balancer de novembre 2025 a touché ses coffres. Les contrats V1 sont restés actifs et financés, et personne ne les a vidés. Les protocoles audités indépendamment comptent toujours pour la majorité des pertes d’attaques crypto, donc un audit ancien ne protégeait pas dans ce cas. Un parallèle proche est survenu en juin, lorsqu’un attaquant a vidé les pools historiques Solana chez Raydium. Le jeton NOTE de Notional se négocie autour de 0,0065 dollar, en hausse de 3,5 % sur 24 heures, pour une capitalisation proche de 400 700 dollars. Performance du prix de Notional Finance (NOTE). Notional n’avait publié aucune déclaration, chiffre de perte ou analyse post-mortem au moment de la publication. Il reste incertain si les fonds détournés appartenaient aux utilisateurs, à la trésorerie ou à un tiers.