एक हमलावर ने शुक्रवार सुबह Notional Finance के पुराने escrow contract से लगभग $1.73 मिलियन निकाल लिए। हमलावर ने कोडिंग की एक गलती का फायदा उठाया, जिससे एक बहुत बड़ा बनाया गया कर्ज जीरो की तरह रजिस्टर हो गया।
चोरी हुई DAI और USDC को बदलकर करीब 689 ether (ETH) में ट्रांसफर किया गया। उसके बाद ये फंड्स Tornado Cash से गुजरे, जो वॉलेट्स के बीच की रेखा को तोड़ने वाली सर्विस है। Notional की तरफ से अभी तक कोई पब्लिक स्टेटमेंट नहीं आया है।
Notional Finance का Exploit कैसे हुआ?
Notional Finance, Ethereum पर एक फिक्स्ड-रेट लेंडिंग प्रोटोकॉल है। इसके पहले वर्शन में, फ्यूचर कैश ऑब्लिगेशन को fCash नाम के टोकन की तरह रिकॉर्ड किया जाता था। यह सिस्टम, कर्ज देने से पहले, उधार लेने वाले का कोलेटरल चेक करता था।
यह चेकिंग, कर्ज को ether के टर्म्स में एक raw uint128 conversion के जरिए बदलती थी। दो mint ऐसे जोड़े गए कि उनका कुल exactly two की power 128 के बराबर हो गया। ये वही वैल्यू है, जिससे conversion जीरो में बदल जाता है, QuillAudits ने बताया।
अगर conversion चेक किया गया होता, तो ये वैल्यू रिजेक्ट हो जाती, लेकिन यहां digits चुपचाप drop हो गईं। इसी फाइल में Notional ने कहीं और सेफ तरीका इस्तेमाल किया था, रिपोर्ट अनुसार।
इसके बाद अकाउंट में कोई डेब्ट नहीं दिखाई दिया। Etherscan रिकॉर्ड्स के मुताबिक, ये सेटअप गुरुवार को 11:58 p.m. UTC पर हुआ और तीन मिनट बाद विड्रॉअल किया गया।
दूसरे ट्रांजेक्शन में 69,257 DAI और 1,658,524 USDC escrow से बाहर निकाल लिए गए। हमलावर ने ब्लॉक बिल्डर Titan को 0.07 ETH की टिप भी दी ताकि ट्रेड प्राइवेटली रूट हो सके।
सिक्योरिटी फर्म PeckShield ने ऑन-चेन मॉनिटर Specter की वार्निंग शेयर की। अब इस escrow में करीब $60,600 के leftover टोकन बचे हैं।
Inactive V1 Contracts में अब भी असली पैसे थे
Notional ने अपना तीसरा वर्शन तब बंद किया जब November 2025 Balancer exploit से इसके वॉल्ट्स में असर आ गया। V1 contracts एक्टिव और फंडेड रहे, लेकिन किसी ने इनको स्वीप नहीं किया।
इंडिपेंडेंट ऑडिट किए गए प्रोटोकॉल्स अब भी ज्यादातर क्रिप्टो हैक लॉसेस के लिए जिम्मेदार हैं, इसीलिए पुराना ऑडिट यहां कोई काम न आया। जून में इसी तरह का मामला हुआ, जब एक हमलावर ने Raydium पर पुराने Solana pools को ड्रेन कर दिया।
Notional का NOTE टोकन लगभग $0.0065 पर ट्रेड कर रहा है, जो 24 घंटों में 3.5% ऊपर है, इसका मार्केट वैल्यू लगभग $400,700 के करीब है।
Notional ने अभी तक कोई स्टेटमेंट, नुकसान का आंकड़ा, या पोस्ट-मॉर्टेम जारी नहीं किया है। निकाले गए फंड्स यूज़र्स, ट्रेजरी या किसी थर्ड पार्टी के थे, इसकी पुष्टि नहीं हुई है।
