Notional Finance colpita da un exploit da 1,7 milioni di dollari a causa di un bug di overflow intero

Un aggressore ha sottratto circa 1,73 milioni di dollari dal vecchio contratto di deposito di Notional Finance nella prima mattinata di venerdì, sfruttando un difetto di programmazione che ha fatto sì che un enorme debito fittizio venisse registrato come zero. I DAI e USDC rubati sono stati convertiti in circa 689 ether (ETH). I fondi sono poi passati attraverso Tornado Cash, un servizio che interrompe la tracciabilità tra wallet. Notional non ha rilasciato nessuna dichiarazione pubblica.Come ha funzionato l’attacco a Notional FinanceNotional Finance è un protocollo di prestito a tasso fisso su Ethereum. La sua prima versione registrava le future obbligazioni di cassa come token denominati fCash. Il sistema verificava la presenza di garanzie presso i mutuatari prima di consentire loro di contrarre debiti. Tale verifica convertiva il debito in termini di ether tramite una semplice conversione raw uint128. Due creazioni di token ammontavano esattamente a due elevato alla potenza di 128. Questo è l’unico valore che la conversione riduce a zero, secondo quanto rilevato da QuillAudits. Una conversione controllata avrebbe respinto la cifra invece di eliminarne silenziosamente le cifre. Notional ha applicato il metodo più sicuro in altre parti dello stesso file, secondo il rapporto. L’account risultava pertanto privo di debito. I registri di Etherscan mostrano che la configurazione è stata effettuata alle 23:58 UTC di giovedì e il prelievo tre minuti dopo. La seconda transazione ha trasferito 69.257 DAI e 1.658.524 USDC dal deposito. L’aggressore ha inoltre ricompensato il block builder Titan con 0,07 ETH per instradare la transazione in modo privato. La società di sicurezza PeckShield ha trasmesso un avvertimento dal monitor on-chain Specter. Ora, il deposito contiene circa 60.600 dollari in token residui.I vecchi contratti V1 inattivi contenevano ancora fondi realiNotional ha chiuso la sua terza versione dopo che l’exploit di Balancer del novembre 2025 ha avuto ripercussioni sui suoi vault. I contratti V1 sono rimasti attivi e finanziati e nessuno li ha svuotati. I protocolli sottoposti a audit indipendenti rappresentano ancora la maggior parte delle perdite dovute agli hack nel settore crypto, quindi una vecchia revisione non ha offerto protezione in questo caso. A giugno si è verificata una situazione molto simile, quando un aggressore ha svuotato vecchi pool Solana su Raydium. Il token NOTE di Notional viene scambiato a circa 0,0065 dollari, in rialzo del 3,5% nelle ultime 24 ore, per una capitalizzazione di mercato vicina a 400.700 dollari. Performance del prezzo di Notional Finance (NOTE). Al momento della pubblicazione, Notional non aveva ancora rilasciato alcuna dichiarazione, stima delle perdite o analisi post-mortem. Resta non confermato se il denaro sottratto appartenesse agli utenti, alla tesoreria o a una terza parte.