Notional Finance sufre un exploit de 1,7 millones de dólares debido a un bug de desbordamiento de enteros

Un atacante drenó aproximadamente 1,73 millones de dólares del contrato de depósito en garantía heredado de Notional Finance a primera hora del viernes, explotando un fallo de codificación que hizo que una enorme deuda fabricada se registrara como cero. Los DAI y USDC robados se convirtieron en aproximadamente 689 ether (ETH). Luego, los fondos pasaron por Tornado Cash, un servicio que dificulta el rastreo entre billeteras. Notional no ha hecho ninguna declaración pública.Cómo Funcionó el Exploit de Notional FinanceNotional Finance es un protocolo de préstamos a tasa fija en Ethereum. Su primera versión registraba obligaciones de efectivo futuras como tokens llamados fCash. El sistema evaluaba la garantía de los prestatarios antes de permitirles añadir deuda. Esa evaluación convertía la deuda a términos de ether mediante una conversión bruta uint128. Dos emisiones sumaron exactamente dos elevado a la potencia de 128. Ese es el único valor que la conversión aplana a cero, según descubrió QuillAudits. Una conversión controlada habría rechazado la cifra en lugar de eliminar silenciosamente sus dígitos. Notional utilizó el método más seguro en otra parte del mismo archivo, según el informe. Luego, la cuenta aparecía como libre de deudas. Los registros de Etherscan muestran que la configuración se realizó a las 11:58 p.m. UTC del jueves y el retiro tres minutos después. Esa segunda transacción movió 69.257 DAI y 1.658.524 USDC fuera del depósito en garantía. El atacante también dio una propina de 0,07 ETH al block builder Titan para enrutar la operación de manera privada. La firma de seguridad PeckShield retransmitió una advertencia del monitor on-chain Specter. El depósito en garantía ahora contiene aproximadamente 60.600 dólares en tokens restantes.Contratos V1 Inactivos Todavía Mantenían Dinero RealNotional cerró su tercera versión después de que el exploit de Balancer en noviembre de 2025 se propagara a sus bóvedas. Los contratos V1 permanecieron activos y financiados, y nadie los vació. Protocolos auditados de forma independiente siguen representando la mayoría de las pérdidas por hacks en cripto, por lo que una revisión antigua no ofreció ninguna protección en este caso. Junio trajo un paralelismo cercano, cuando un atacante drenó pools heredados de Solana en Raydium. El token NOTE de Notional cotiza cerca de 0,0065 dólares, un aumento del 3,5% en 24 horas, con un valor de mercado cercano a 400.700 dólares. Rendimiento del precio de Notional Finance (NOTE). Notional no había emitido ninguna declaración, cifra de pérdidas ni análisis al momento de la publicación. Si el dinero drenado pertenecía a usuarios, al tesoro o a terceros sigue sin confirmarse.