Seorang penyerang menguras sekitar US$1,73 juta dari kontrak escrow lama Notional Finance pada Jumat pagi, dengan mengeksploitasi celah kode yang menyebabkan utang palsu dalam jumlah besar tercatat sebagai nol.
DAI dan USDC yang dicuri diubah menjadi sekitar 689 ether (ETH). Dana tersebut kemudian melewati Tornado Cash, sebuah layanan yang memutus jejak antar wallet. Notional belum memberikan pernyataan secara publik.
Bagaimana Eksploitasi di Notional Finance Terjadi
Notional Finance adalah protokol peminjaman berbunga tetap di Ethereum. Versi pertamanya mencatat kewajiban kas di masa depan sebagai token yang disebut fCash. Sistem ini memeriksa jaminan dari peminjam sebelum memperbolehkan mereka menambah utang.
Proses pemeriksaan ini mengubah utang ke dalam satuan ether melalui konversi uint128 mentah. Dua kali pencetakan token dijumlahkan hingga tepat dua pangkat 128. Ini merupakan satu-satunya nilai yang membuat hasil konversinya menjadi nol, terang QuillAudits.
Konversi dengan pengecekan seharusnya menolak angka ini, bukan langsung menghilangkan digit-digitnya. Notional sendiri memakai metode yang lebih aman di bagian lain file yang sama, tutur penjelasan tersebut.
Akun tersebut kemudian terbaca seperti tidak memiliki utang. Catatan di Etherscan menunjukkan pengaturan ini berlangsung pada pukul 23:58 UTC hari Kamis dan penarikan terjadi tiga menit setelahnya.
Transaksi kedua memindahkan 69.257 DAI dan 1.658.524 USDC keluar dari escrow. Penyerang juga memberi tip kepada pembangun blok Titan sebesar 0,07 ETH agar transaksi tersebut dapat dilakukan secara privat.
Perusahaan keamanan PeckShield menyampaikan peringatan dari pemantauan on-chain Specter. Saat ini escrow tersebut hanya menyisakan sekitar US$60.600 dalam bentuk token.
Kontrak V1 Tidak Aktif Masih Menyimpan Dana Nyata
Notional menghentikan versi ketiganya setelah eksploitasi Balancer November 2025 berdampak pada isi vault mereka. Kontrak V1 tetap aktif dan masih berisi dana, serta tidak ada yang membersihkan sisa saldo ini.
Protokol yang sudah diaudit secara independen masih mengalami kebanyakan kerugian akibat hack aset kripto, sehingga audit lama kali ini tidak dapat melindungi mereka. Pada Juni lalu, serangan yang mirip terjadi ketika seseorang menguras liquidity pool lama Solana di Raydium.
Token NOTE dari Notional diperdagangkan di kisaran US$0,0065, naik 3,5% dalam 24 jam terakhir, dengan nilai pasar mendekati US$400.700.
Sampai waktu publikasi, Notional belum mengeluarkan pernyataan, angka kerugian, atau laporan pasca kejadian. Apakah dana yang dicuri milik pengguna, treasury, atau pihak ketiga masih belum bisa dipastikan.
