Un aggressore ha sottratto circa 1,73 milioni di dollari dal vecchio contratto escrow di Notional Finance nelle prime ore di venerdì, sfruttando un difetto di programmazione che faceva risultare pari a zero un debito artificiosamente enorme.
I DAI e USDC rubati sono stati convertiti in circa 689 ether (ETH). I fondi sono poi passati attraverso Tornado Cash, un servizio che spezza il collegamento tra i portafogli. Notional non ha rilasciato dichiarazioni pubbliche.
Come è avvenuto l’exploit di Notional Finance
Notional Finance è un protocollo di prestiti a tasso fisso su Ethereum. La sua prima versione registrava gli obblighi di pagamento futuri sotto forma di token chiamati fCash. Prima di consentire ai mutuatari di aggiungere debiti, il sistema verificava che disponessero di garanzie sufficienti.
Questa verifica convertiva il debito in termini di ether tramite una conversione uint128 non controllata. Due coniazioni sommate davano esattamente 2 elevato alla potenza di 128. Secondo quanto scoperto da QuillAudits, questo è l’unico valore che la conversione riduce a zero.
Una conversione con controllo avrebbe rifiutato il valore, anziché eliminarne silenziosamente le cifre. Secondo l’analisi, Notional ha usato il metodo più sicuro altrove nello stesso file.
A quel punto, il conto risultava privo di debiti. I dati di Etherscan mostrano che l’operazione di preparazione è stata completata giovedì alle 23:58 UTC e che il prelievo è avvenuto tre minuti dopo.
La seconda transazione ha trasferito dall’escrow 69.257 DAI e 1.658.524 USDC. L’aggressore ha inoltre versato una mancia di 0,07 ETH al builder del blocco Titan per instradare privatamente la transazione.
La società di sicurezza PeckShield ha rilanciato un avviso del monitor on-chain Specter. Nell’escrow restano ora token per un valore di circa 60.600 dollari.
I vecchi contratti V1 dormienti contenevano ancora denaro reale
Notional ha dismesso la sua terza versione dopo che l’exploit di Balancer del novembre 2025 si è propagato ai suoi vault. I contratti della V1 sono rimasti attivi e finanziati, ma nessuno li ha svuotati.
I protocolli sottoposti ad audit indipendenti rappresentano ancora la maggior parte delle perdite dovute agli attacchi hacker nel settore crypto, quindi una vecchia revisione non ha offerto alcuna protezione in questo caso. A giugno si è verificato un caso molto simile, quando un aggressore ha svuotato i pool legacy di Solana su Raydium.
Il token NOTE di Notional viene scambiato intorno a 0,0065 $, in rialzo del 3,5% nelle ultime 24 ore, con un valore di mercato vicino a 400.700 $.
Al momento della pubblicazione, Notional non aveva rilasciato dichiarazioni, indicato l’entità delle perdite né pubblicato un rapporto post-mortem. Non è stato confermato se il denaro sottratto appartenesse agli utenti, alla tesoreria o a terzi.
Fonte: BeInCrypto
