Notional Finance постраждала від експлойту на суму 1,7 мільйона доларів через помилку переповнення цілого числа

Атакувальник вивів приблизно $1,73 мільйона з застарілого ескроу-контракту Notional Finance рано в п’ятницю, скориставшись помилкою в коді, яка дозволила величезному сфабрикованому боргу враховуватись як нуль. Викрадені DAI та USDC були еквівалентні приблизно 689 ether (ETH). Згодом ці кошти пройшли через Tornado Cash — сервіс, що розриває зв'язок між гаманцями. Notional публічно нічого не повідомила.Як відбулася експлойт-атака на Notional FinanceNotional Finance — це протокол кредитування з фіксованою ставкою на Ethereum. Перша версія записувала майбутні грошові зобов'язання як токени під назвою fCash. Система перевіряла наявність забезпечення у позичальників перед тим, як дозволити їм брати борг. Під час цієї перевірки борг конвертували у терміни ether за допомогою сирої конвертації uint128. Два випуски токенів разом дали рівно два у ступені 128. Це єдине значення, при якому конвертація обнуляється, як виявили у QuillAudits. Якщо б перевірка була реалізована коректно, система відхилила б це значення, а не просто “сховала” цифри. В іншому місці того ж файлу Notional використала більш безпечний метод, згідно з технічним описом. Обліковий запис після цього вважався без боргу. Згідно з записами Etherscan, у четвер о 23:58 UTC було встановлено цю схему, а за три хвилини відбувся вивід коштів. Саме ця друга транзакція перемістила 69 257 DAI та 1 658 524 USDC з ескроу. Атакувальник також винагородив блок-білдера Titan на 0,07 ETH, щоби зробити угоду приватно. Фірма з кібербезпеки PeckShield передала попередження від монітора Specter на блокчейні. Наразі в ескроу залишилося приблизно $60 600 у токенах.Неактивні V1 контракти все ще містили справжні коштиNotional завершила роботу своєї третьої версії після експлойту Balancer у листопаді 2025 року, який торкнувся і її сховищ. Контракти V1 залишилися активними та наповненими, і ніхто їх не зачистив. Протоколи, що проходили незалежний аудит, і досі становлять більшість крипточерез зломи, тож старий аудит не дав захисту в цьому випадку. У червні відбулася схожа подія, коли атакувальник вивів кошти з застарілих пулів Solana на Raydium. Токен NOTE від Notional торгується приблизно по $0,0065, зростання за 24 години склало 3,5%, при ринковій капіталізації близько $400 700. Динаміка ціни Notional Finance (NOTE). На момент публікації Notional не зробила жодної заяви, не вказала масштабу втрат чи аналізу інциденту. Чи належать викрадені гроші користувачам, трезору чи третій стороні — так і не підтверджено.