Notional Finance terkena eksploitasi senilai $1,7 juta akibat bug integer overflow

Cara Kerja Eksploitasi Notional Finance

Notional Finance adalah protokol pinjaman dengan suku bunga tetap di Ethereum. Versi pertamanya mencatat kewajiban kas masa depan sebagai token yang disebut fCash. Sistem ini menyaring peminjam berdasarkan jaminan sebelum mengizinkan mereka menambah utang. Proses penyaringan itu mengonversi utang ke dalam istilah ether melalui konversi uint128 mentah. Dua pencetakan dijumlahkan secara tepat menjadi dua pangkat 128. Itu adalah satu-satunya nilai yang hasil konversinya menjadi nol, menurut temuan QuillAudits. Konversi yang diperiksa akan menolak angka itu daripada diam-diam menghilangkan digitnya. Notional menggunakan metode yang lebih aman di bagian lain file yang sama, berdasarkan laporan tersebut. Akun tersebut kemudian terbaca sebagai bebas utang. Catatan Etherscan menunjukkan pengaturan tersebut dibuat pada pukul 11:58 p.m. UTC Kamis dan penarikan dilakukan tiga menit kemudian. Transaksi kedua itu memindahkan 69.257 DAI dan 1.658.524 USDC keluar dari escrow. Penyerang juga memberi tip kepada block builder Titan sebesar 0,07 ETH untuk menjalankan perdagangan secara privat. Perusahaan keamanan PeckShield meneruskan peringatan dari monitor on-chain Specter. Escrow tersebut sekarang menyimpan sekitar $60.600 dalam token tersisa.

Kontrak V1 yang Tidak Aktif Masih Menyimpan Dana Sungguhan

Notional menghentikan versi ketiganya setelah eksploitasi Balancer November 2025 berdampak pada vault-nya. Kontrak V1 tetap aktif dan terisi dana, dan tidak ada yang membersihkannya. Protokol yang diaudit secara independen tetap menjadi penyumbang utama kerugian akibat peretasan crypto, sehingga tinjauan lama tidak memberikan perlindungan di sini. Kasus serupa terjadi pada bulan Juni, ketika seorang penyerang menguras pool Solana lawas di Raydium. Token NOTE milik Notional diperdagangkan di harga sekitar $0,0065, naik 3,5% dalam 24 jam terakhir, dengan nilai pasar mendekati $400.700. Kinerja Harga Notional Finance(NOTE). Notional belum mengeluarkan pernyataan, angka kerugian, atau analisis pasca kejadian saat artikel ini dipublikasikan. Apakah dana yang terkuras tersebut milik pengguna, treasury, atau pihak ketiga masih belum dikonfirmasi.